Человеческий периметр Как запустить программу управления человеческим риском и доказать, что она работает

Почему человек: вероятность и цена ошибки

Генеральный директор не спрашивает, сколько курсов прошли работники. Он спрашивает, сколько стоит одна ошибка и что компания сможет показать, если ошибка случится. Программа управления человеческим риском отвечает на эти два вопроса.

Говорите о цене ошибки, а не о «незнании». Незнание лечат курсом. Цену ошибки снижают процессы, привычки и измерения — их руководство и поддерживает бюджетом. В этой главе — цифры, которые выдержат вопросы финансового директора, и таблица последствий, которую стоит пересчитать на своих данных.

Вероятность: атаку на организацию открывает человек

Первые две цифры — по России (у BI.ZONE — вместе со СНГ), третья — мировая. Все три — оценки компаний, у каждой свой отчёт, своя выборка и свой период. Их нельзя складывать или перемножать. Вместе они говорят одно: большинство целевых и успешных атак проходит через решение конкретного человека.

Для оценки вероятности в вашей компании этих цифр мало. Нужна своя: доля провалов и сообщений в учебных атаках средней сложности на всех работников. Как её получить и чем она становится доказательством — в главе 8.

Клиенты банков — другая аудитория

В презентациях часто встречаются доли социальной инженерии выше 90%. Обычно они про клиентов банков, а не про компании. Сами цифры верны, но отвечают на другой вопрос.

Три цифры для генерального

Вендорские оценки спорят между собой. У официальных рядов есть ведомство, период и дата публикации, и их не приходится защищать. Для первого разговора с руководством хватит трёх.

Как читать вместе: преступлений становится меньше, а потери не падают. В 2025 году потери от операций без согласия выросли на 6,4%, до 29 307,6 млн ₽⁠[L141], и всё большая их часть приходится на компании.

В квартальных обзорах 2026 года Банк России даёт потери юрлиц отдельно по счетам и по СБП. Сумма по юрлицам и их доля за I и II кварталы — наш расчёт по этим таблицам⁠[L142]⁠[L143].

Ряд охватывает все схемы хищений со счетов юрлиц, не только атаки через работников. Это не статистика схемы «фейк-босс», поэтому показывайте его как масштаб проблемы, а не как вероятность для вашей компании.

Если спросят про штрафы за утечки, официальная позиция Роскомнадзора на август 2026 года такая: «количество протоколов по утечкам не увеличилось»⁠[L128]. Пересказы в СМИ с точными суммами не берите в презентацию, пока нет акта суда или релиза ведомства.

Вернёт ли банк деньги компании

Часто руководство считает, что украденное со счёта вернёт банк. Для компании это обычно не так. Специальное антифрод-возмещение по ч. 3.13 ст. 8 161-ФЗ положено только физлицам. Юрлицо может требовать возмещения по ч. 12–13 ст. 9 и по договору, только если банк нарушил свои обязанности; в остальных случаях потеря остаётся у компании⁠[L103].

• Ч. 13 ст. 9 — банк не проинформировал клиента о совершённой операции⁠[L103].
• Ч. 12 ст. 9 — операции, совершённые после того, как клиент уведомил банк⁠[L103]. Уведомить банк клиент обязан незамедлительно, но не позднее дня, следующего за днём получения от банка уведомления об операции (ч. 11 ст. 9); если банк клиента проинформировал, а клиент не уведомил банк, возмещать банк не обязан (ч. 14 ст. 9)⁠[L103].
• Ч. 11.1 ст. 9 — по уведомлению клиента-юрлица банк плательщика просит банк получателя приостановить зачисление⁠[L103]. Поэтому казначейству нужен короткий маршрут: заметили подозрительный платёж — сразу звоните и пишите в банк.

Последствия: во что обходится одна ошибка

Суммы штрафов — для коммерческой компании, в том числе ГУП. Госорганы, органы местного самоуправления, госучреждения, госкорпорации и иные НКО штраф юрлица по ч. 10–18 ст. 13.11 не платят: за утечки и неуведомление штрафуют их должностных лиц, до 2 млн ₽⁠[L34]⁠[L160]. Кто за что отвечает лично — в главе 5.

Штрафы — самая заметная часть, но не всегда самая крупная. Простой, выкуп и сорванные сделки считаются отдельно. Первое наказание за утечку открывает окно повторности: компания считается подвергнутой наказанию до истечения года после исполнения постановления⁠[L40], и следующая утечка в этом окне может стоить процент выручки.

Соберите эту таблицу на своих данных: какие категории ПДн и в каком объёме вы храните, какая у вас выручка, сколько стоит час простоя. Калькулятор «Цена одного клика» помогает сделать это в рублях.

Что изменилось с 2025 года

В атаках. Все цифры ниже — оценки компаний со своими выборками; сравнивайте их только с тем же отчётом прошлого года.

• Фишинг чаще открывает атаку: 64% целевых атак против 57% годом ранее (оценка BI.ZONE)⁠[S2].
• Подрядчики стали входом: доля высококритичных инцидентов, связанных с атаками через подрядчиков, выросла с 15% в 2024 году до 30% в 2025-м (расследования BI.ZONE)⁠[S22].
• Нейросети стали каналом утечки: объём данных, отправляемых в общедоступные нейросети, за 2025 год вырос в 30 раз — по трафику 150 компаний, данные «Солара»⁠[S10]; 20% организаций с утечками связали их хотя бы частично с несанкционированным ИИ (оценка «Информзащиты»)⁠[S11].
• Голос руководителя можно подделать: мошенничества с дипфейками в мессенджерах стало в 10 раз больше (оценка «Сбера», методика не раскрыта), самая популярная схема — «фейк-босс»⁠[S9].

В нормах. Три изменения, которые меняют разговор с руководством:

• С 30.05.2025 — ч. 10–18 ст. 13.11 КоАП. Отдельные штрафы за неуведомление о намерении обрабатывать ПДн и об утечке, за утечку по числу субъектов или идентификаторов, за утечку специальных категорий и биометрии и оборотные — за повторную; скидки 50% за быструю оплату по ст. 13.11 больше нет⁠[L35].
• С 01.07.2025 — запрет зарубежных баз данных. Записывать и хранить ПДн граждан России в зарубежных базах данных при сборе запрещено (ч. 5 ст. 18 152-ФЗ)⁠[L13]. Это касается и платформ обучения и учебных атак: база с данными работников должна быть в России.
• С 01.03.2026 — приказ ФСТЭК № 117. Для ГИС и информационных систем госорганов, ГУП, госучреждений и муниципальных систем мероприятия по повышению знаний пользователей «должны включать» имитационные рассылки электронных писем на служебные адреса и иные служебные средства коммуникаций (п. 56 «в»), а уровень знаний нужно оценивать не реже раза в 3 года или после компьютерного инцидента (п. 57)⁠[L80]. Для остальных коммерческих компаний это ориентир, а не обязанность (глава 3).

Полная хронология 2024–2027 годов с датами вступления в силу — в приложении H.

Разговор с руководством на три минуты

1. Одна цифра о вероятности: большинство атак на организации начинается с человека.
2. Один официальный ряд о деньгах: доля компаний в потерях от операций без согласия растёт.
3. Одна таблица о последствиях — на ваших объёмах ПДн, вашей выручке и вашем простое.
4. Что будем измерять: не прохождение курсов, а сообщения о подозрительном и провалы в учебных атаках (глава 8).
5. Что сможем доказать: документы о мерах, принятых до инцидента (глава 3, глава 5).
6. Какое решение нужно: спонсор, бюджет и пилот на 90 дней (глава 15), отчёт совету на одной странице (глава 16).

Модель зрелости: где вы сейчас

Модель нужна, чтобы честно ответить на вопрос «где мы сейчас» и не обещать совету прыжок через ступени. Зрелость измеряется поведением людей и процессом, а не часами курсов.

Пять уровней ниже опираются на модель зрелости культуры безопасности SANS⁠[F1] и на жизненный цикл программы обучения из NIST SP 800-50 Rev. 1⁠[F2]. Формулировки, доказательства и метрики перехода — наши, под российские нормы. Модель АВАТЕК — не норматив; официальная шкала ФСТЭК для обучения показана после лестницы.

1. Уровень 1

   Формальный

   Курс раз в год, ознакомление под роспись. Учебных атак нет или они разовые.

   Чем доказать

   Перечень работников, допущенных к ПДн, и журнал их ознакомления и (или) обучения⁠[L14]; листы ознакомления с ЛНА по ИБ под роспись⁠[L61]; для значимых объектов КИИ — доведение ОРД и мероприятия по знаниям не реже раза в год⁠[L77]

   Метрика перехода

   Охват курсом и ознакомлением до допуска к ПДн

2. Уровень 2

   Измеряемый

   Утверждено положение об имитационных атаках. Есть базовая линия по почте и кнопка «Сообщить».

   Чем доказать

   Положение (приложение A) и отчёт о базовой линии; для ГИС имитационные рассылки на служебные адреса прямо названы в п. 56 «в» приказа ФСТЭК № 117⁠[L80]

   Метрика перехода

   Доли провалов, сообщений и пропусков по всей компании

3. Уровень 3

   Управляемый

   Программа утверждена по категориям работников, знания и умения проверяются. Сценарии под роли, два канала и больше, обучение в момент ошибки, трек повторных провалов, политика ИИ, правило второго канала для денег и доступов.

   Чем доказать

   Программа по категориям с контролем знаний и умений — высший балл по «Обучению» в Методике Узи⁠[L83]; протоколы практических занятий (п. 13.7 приказа № 239⁠[L79]) и тренировок (п. 56 «г» приказа № 117⁠[L80])

   Метрика перехода

   Коэффициент устойчивости, медиана до сообщения, повторные провалы

4. Уровень 4

   Интегрированный

   Сообщения работников уходят в SOC и SIEM. Реальные атаки становятся учебными сценариями. Подрядчики в программе. Риск виден по поведению работников и отделов. Отчёт руководству — в рублях.

   Чем доказать

   Маршрут сообщений в SIEM; листы ознакомления подрядчиков с ОРД (п. 16 приказа № 235⁠[L77]) и требования к подрядчикам (п. 58 приказа № 117⁠[L81]); квартальные отчёты совету (глава 16)

   Метрика перехода

   Реальные сообщения на работника, доля подтверждённых, охват подрядчиков

5. Уровень 5

   Устойчивый

   Программа сама меняет приоритеты по данным: пересматривает карту поведения, обновляет сценарии под новые атаки. Метрики — вход для решений, которые принимает человек: о дополнительном обучении, настройке доступов, платёжных процедурах. Автоматических кадровых последствий нет.

   Чем доказать

   Годовой пересмотр программы; решения руководства со ссылкой на метрики, принятые человеком. Решение, которое порождает юридические последствия для работника или иначе затрагивает его права, нельзя принимать только на основании автоматизированной обработки его данных⁠[L11]⁠[L64]

   Признак устойчивости

   Динамика держится несколько циклов подряд во всех ролях и филиалах

Где проходит граница «решения, затрагивающего права», — курс, реестр неуспевающих, ограничение доступа, — закон прямо не говорит. Наше прочтение и вопрос юристу — в главе 8.

Модель и шкала ФСТЭК: Методика Узи

С августа 2026 года у самооценки есть официальная линейка. Методика оценки уровня зрелости (Узи) от 07.08.2026 оценивает 21 направление деятельности, среди них — «повышение уровня знаний и информированности». В каждом направлении проверяются восемь видов требований, и один из них — «Обучение»: степень осведомлённости персонала, направленная на снижение рисков человеческого фактора, вес 0,1. Шкала — 0 / 0,3 / 0,5 / 1; высший балл даёт только обучение по утверждённой программе, охватывающей разные категории работников, с контролем знаний и умений⁠[L83].

В пороги уровня зрелости направления «Обучение» входит только с уровня 3 (Di6 ≥ 0,05) и уровня 4 (Di6 = 0,1)⁠[L83]. По нашему прочтению, при весе 0,1 это значит: для уровня 3 нужен балл не ниже 0,5, для уровня 4 — балл 1. Поскольку «Обучение» оценивается в каждом направлении, слабое обучение ограничивает не одно направление, а все.

Целевые уровни зрелости п. 11 Методики не требует, а рекомендует: для каждого направления не ниже 1, 2 или 3 — в зависимости от класса ГИС, уровня защищённости ИСПДн и категории значимого объекта КИИ; те же уровни рекомендованы подрядчикам, которые обслуживают эти системы⁠[L83].

Не путайте Узи с показателем Кзи. В Методике Кзи показателей осведомлённости нет. Но если на пентесте или учениях доступ получен через учётную запись пользователя, группа «Защита пользователей» обнуляется⁠[L84]. Учебные атаки Кзи не повышают — они помогают не потерять его на проверке.

Кому Узи обязателен

Для одних организаций Методика — внешняя линейка, для других — обязанность со сроками. Выберите свой режим; если подходят несколько, действуют все.

Как пользоваться моделью

• Оценивайте по отдельности процесс, метрики, каналы, связь с SOC и подрядчиков. Итог — по самому слабому.
• Поднимайтесь на один уровень за цикл. Прыжок с первого уровня на четвёртый обычно значит, что доказательства нарисованы.
• Повторяйте самооценку раз в квартал и прикладывайте её к отчёту руководству.
• Если вы оператор ГИС, владелец значимого объекта КИИ или подрядчик одного из них, сверяйте самооценку с баллом «Обучение» по Методике Узи.
• Не путайте зрелость программы и возможности платформы. Инструмент помогает, но уровень дают процесс и поведение людей.

Каждый переход — один оборот цикла NIST: план и стратегия, анализ и проектирование, разработка и внедрение, оценка и улучшение⁠[F2]. SANS описывает похожий путь: от отсутствия программы через ориентацию на соответствие и изменение поведения к долгосрочной культуре и устойчивости⁠[F1].

Типичные ловушки самооценки

• «У нас десять курсов — значит, третий уровень». Курсы — это активность. Уровень определяет поведение, а по шкале ФСТЭК — утверждённая программа по категориям с контролем знаний и умений.
• «Базовая линия есть». Если это одна лёгкая рассылка на часть работников — её нет. Базовая линия — кампания средней сложности на всех.
• «Сообщения уходят в SOC». Если работнику никто не отвечает, сообщение уходит в пустоту, и четвёртого уровня нет.
• «Подрядчики подписали соглашение о конфиденциальности». Подпись не показывает поведение. Нужен охват программой или договорное требование с проверкой.
• «Риск-скор сам решает, кого наказать». Это не пятый уровень, а правовой риск: решения по работнику принимает человек.

Правовая карта: кто что обязан

Нормы — по состоянию на 26.09.2026

Эта глава отвечает на два вопроса за десять минут: какие нормы о людях касаются именно вас и какими документами вы докажете, что их выполнили. Сначала — шесть вопросов о режиме, затем карта применимости, затем пакет доказательств.

Определите свой режим за шесть вопросов

База одна для всех: вы оператор ПДн своих работников и работодатель. Каждый ответ «да» добавляет к базе слой отраслевых норм. Отметьте свои ответы, затем найдите строки в таблице ниже.

• ГИС. Вы оператор ГИС, иной информационной системы госоргана, ГУП, госучреждения или муниципальной ИС? Или получаете информацию ограниченного доступа из ГИС, или работаете подрядчиком такого оператора?
• Субъект КИИ. У вас есть объекты КИИ в сферах 187-ФЗ, даже без категории значимости? Сюда же отнесите госорган или компанию, где у государства больше 50%: они тоже информируют ГосСОПКА.
• Значимые объекты. Хотя бы одному вашему объекту КИИ присвоена категория значимости?
• Финансы. Вы кредитная организация, некредитная финансовая организация (НФО), субъект национальной платёжной системы (НПС) или участник СБП?
• Указ № 250. Вы федеральный орган исполнительной власти, высший исполнительный орган власти региона, государственный фонд, госкорпорация (госкомпания) или иная организация, созданная на основании федерального закона, стратегическое предприятие или акционерное общество, системообразующая организация либо юрлицо — субъект КИИ?
• СКЗИ. Работники пользуются средствами криптографической защиты информации: шифрованием, электронной подписью на сертифицированных средствах?

Ответы складываются. Банк с объектами КИИ живёт сразу в трёх слоях: ПДн, КИИ и требования Банка России. Больница-госучреждение — в слоях ГИС и ПДн, плюс врачебная тайна⁠[L122] (приложение E).

Если на все шесть вопросов ответ «нет»

Остальные обязанности — ознакомить под роспись с локальными нормативными актами (ЛНА) по ИБ, с порядком обработки ПДн работников и с режимом коммерческой тайны⁠[L61]⁠[L64]⁠[L70]. Форму, частоту и проверку знаний закон не задаёт⁠[L14].

Приказы ФСТЭК № 117, 235 и 239 для вас не обязательны, но дают готовый каркас программы: какие формы обучения бывают, что считать результатом, как часто проверять знания. Главная логика для вас — доказательство мер до инцидента: юрлицо виновно, если не приняло всех зависящих от него мер⁠[L43] (глава 5).

Что обязательно почти для всех: ознакомление под роспись

Ознакомление — самая частая и самая проверяемая обязанность. Её требуют ТК, 152-ФЗ, 98-ФЗ и ПП № 687, и у каждого акта свой круг работников. Проверочный лист Роскомнадзора спрашивает о части из них: о мерах по ст. 18.1 152-ФЗ, об ответственном по ст. 22.1, об информировании по ПП № 687 и об ознакомлении по п. 8 ст. 86 ТК⁠[L31] (приложение G).

Отчёт учебной платформы заменяет подпись об ознакомлении, только если выполнены три условия: система указана в ЛНА об электронном документообороте, работник дал на него письменное согласие (кроме принятых после 31.12.2021 без трудового стажа) и заключено соглашение о простой электронной подписи⁠[L62]. Иначе сертификат доказывает обучение, но не ознакомление с ЛНА (глава 10).

Карта применимости: кто что обязан

Одна и та же тема — обучение, уведомление, надзор — в разных режимах решается разными актами. Первая вкладка — самый частый случай: коммерческая компания, у которой есть только ПДн.

Госсектор: две опоры для учебных атак

Приказ ФСТЭК № 117 действует с 01.03.2026 и касается ГИС, иных информационных систем госорганов, ГУП и госучреждений, а также муниципальных ИС, если иное не установлено законодательством⁠[L80]. Это единственный нормативный правовой акт, где учебная рассылка названа прямо: «имитационные рассылки» на служебные адреса входят в перечень мероприятий, которые «должны включать» (п. 56 «в»)⁠[L80]. Методический документ ФСТЭК от 12.04.2026 называет такие рассылки «усилением» по решению оператора⁠[L82]; мы исходим из текста приказа.

Вторая опора — контроль защищённости. Тестирование с моделированием актуальных угроз и плановые тренировки работников (п. 66 «в», «г») дают основание для учений, а отчёт по п. 67 связывает их со сроками⁠[L80]. Одна кампания может закрыть и п. 56 «в», и п. 66 «г», если это прописано в регламенте — так мы читаем приказ (глава 9).

Требования распространяются не только на операторов. Информационная система, в которую передаётся информация ограниченного доступа из ГИС, должна им соответствовать (п. 2), подрядчик оператора получает требования по п. 58⁠[L80]⁠[L81]. Показатель зрелости (Узи) оператор ГИС сейчас, по действующему п. 32, рассчитывает сам не реже раза в 2 года⁠[L80]; с 01.03.2027 новая редакция п. 32 возлагает расчёт Узи на подрядчика — до доступа и далее раз в 2 года⁠[L81]. Как Узи оценивает обучение и кто считает его после 01.03.2027 (с вопросом юристу), — в главе 2.

Норма → требование → чем доказать

Проверка и суд спрашивают не «обучали ли вы», а «чем это подтверждается». Ниже — нормы о людях и артефакты, которые их закрывают. Полная таблица по всем режимам — в приложении D.

Нужно ли согласие работников на поручение обработки платформе, закон прямо не говорит. Книга исходит из осторожной позиции — отдельное письменное согласие; почему и какие вопросы задать юристу, — в главе 4.

Минимальный пакет доказательств

Храните пакет не меньше срока давности по ст. 13.11 КоАП — 1 год — с запасом на обжалование⁠[L39]; акты об уничтожении ПДн — 3 года⁠[L21]. Для смягчения по ч. 3.4-2 ст. 4.1 КоАП нужны документы о расходах на ИБ за три календарных года и подтверждение соблюдения требований не старше 12 месяцев на момент выявления⁠[L36].

• Приказ о назначении ответственного за организацию обработки ПДн и план информирования работников⁠[L18].
• Перечень работников, допущенных к ПДн, и отметки об ознакомлении до допуска⁠[L14]⁠[L61].
• Положение об имитационных атаках, утверждённое руководителем, с листом ознакомления (приложение A).
• Договор поручения с платформой и отдельные согласия, если вы их собираете (приложения B и F).
• Программа обучения по категориям работников и результаты контроля знаний с датами (глава 10).
• Отчёты по учебным кампаниям и протоколы учений.
• Журнал сообщений работников со временем получения и решения (глава 6).
• Расходы на ИБ по годам и договоры с лицензиатами — для условия ч. 3.4-2 ст. 4.1 КоАП⁠[L36].

Чего нормы не дают

• Частоту учебных атак не задаёт ни один приказ: № 117 и № 239 отдают её регламентам и документам организации⁠[L80]⁠[L79]. Заданы только сроки вокруг: мероприятия по знаниям в значимых КИИ — не реже раза в год⁠[L77], оценка знаний в госсекторе — не реже раза в 3 года или после инцидента⁠[L80].
• Кзи от учебных атак не растёт: показателей осведомлённости в методике нет. Зато он может упасть: если на пентесте или учениях доступ получен через учётную запись пользователя, группа «Защита пользователей» обнуляется⁠[L84].
• Узи, наоборот, оценивает обучение прямо, но в пороги уровней «Обучение» входит только с 3-го уровня⁠[L83] (глава 2).
• Смягчение оборотного штрафа не отдано на усмотрение суда: при трёх условиях штраф назначается в размере 1/10 минимального, но не менее 15 и не более 50 млн ₽. Но касается оно только ч. 15 и 18 ст. 13.11 и только если все три условия выполнены одновременно к моменту выявления нарушения: расходы считаются за три календарных года до года выявления, проверка соответствия — за 12 месяцев до выявления⁠[L36]. После утечки их уже не исправить.
• Автоматического соответствия не даёт ни одна платформа. Соответствие — это документы, процесс и их исполнение.

Учебные атаки законно: безопасная гавань

Нормы — по состоянию на 26.09.2026

Учебная атака — это обработка персональных данных работников, и она касается их рабочей переписки. Глава даёт руководителю ИБ и юристу консервативный порядок запуска с учётом 152-ФЗ, ТК, УК, ГК и закона «О связи» и честно показывает, где закон молчит.

Статус: прямой нормы нет

Закон не запрещает учебные атаки и прямо их не разрешает. Судебных актов и разъяснений Роскомнадзора именно об учебном фишинге мы не нашли. Единственный нормативный акт, который прямо называет такие рассылки, — приказ ФСТЭК № 117 для госсектора⁠[L80].

Поэтому всё, что ниже, — консервативная «безопасная гавань»: порядок, который снижает риски по 152-ФЗ, ТК, УК, ГК и закону «О связи», но не исключает их. Это рекомендация АВАТЕК, а не норма. Где закон молчит, мы пишем «по нашему прочтению» и ставим вопрос юристу.

Шесть документов до первой кампании

Учебная атака обрабатывает данные работников: адрес, должность, подразделение, действия и время реакции. Значит, программа встраивается в режим 152-ФЗ и гл. 14 ТК так же, как любая новая HR-система.

Ознакомление через ЭДО заменяет подпись, только если выполнены три условия: система включена в ЭДО по ЛНА, работник дал письменное согласие на ЭДО, есть соглашение о простой электронной подписи⁠[L62]. Иначе отчёт платформы доказывает обучение, но не ознакомление. Дистанционных работников знакомят в порядке ст. 312.3 ТК, в том числе обменом электронными документами⁠[L156].

Предупреждать о датах и сценариях отдельных кампаний не нужно: ТК требует ознакомить с ЛНА, а не с шаблонами писем⁠[L61]. Работник должен знать, что программа есть, какие события фиксируются, кто видит его результаты и как они используются.

Основание обработки: на чём стоит программа

Доказывать основание обработки обязан оператор (ч. 3 ст. 9 152-ФЗ)⁠[L3]. Опора, которую мы предлагаем обсудить с юристом, складывается из четырёх частей:

• п. 2 ч. 1 ст. 6 152-ФЗ — исполнение обязанностей оператора: ознакомление и (или) обучение работников по п. 6 ч. 1 ст. 18.1, для ГИС, КИИ и банков — отраслевые требования⁠[L2]⁠[L14];
• п. 5 ч. 1 ст. 6 — трудовой договор и должностная инструкция, где записаны обязанности по ИБ⁠[L2];
• п. 7 ч. 1 ст. 6 — законный интерес оператора, как дополнительное основание с письменной оценкой соразмерности⁠[L2];
• цели п. 1 ст. 86 ТК — получение образования, контроль количества и качества работы, сохранность имущества⁠[L64].

Прямой нормы об учебных атаках среди этих оснований нет — это наше прочтение. Сильная сторона такой опоры: она не зависит от согласия, которое работник вправе отозвать.

Минимизация: события, а не содержимое

Обработка ограничивается заранее определёнными целями, объём данных не должен быть избыточным, хранение — не дольше, чем нужно для цели (ст. 5 152-ФЗ)⁠[L1]. Для учебных атак это четыре настройки платформы и ЛНА.

• Фиксируются только события: доставлено, открыто, переход, открытие вложения, «данные введены», сообщено. Пароли, значения полей и тексты ответов не передаются и не хранятся; проверку ввода делайте в браузере⁠[L1].
• Результаты учебных атак не объединяются с базами оценки персонала и премирования: базы с несовместимыми целями объединять нельзя⁠[L1].
• Срок хранения персональных результатов закон не задаёт — запишите его в ЛНА. По достижении цели данные уничтожаются не позднее 30 дней (ч. 4 ст. 21 152-ФЗ)⁠[L16].
• Уничтожение подтверждается актом и выгрузкой из журнала, в том числе у лица, которое обрабатывает ПДн по поручению оператора (обработчика); документы хранятся 3 года (приказ РКН № 179)⁠[L21].

Персональные результаты видят только роли, названные в ЛНА: ПДн работника передаются внутри организации только уполномоченным лицам (ст. 88 ТК)⁠[L64]. Руководителям — агрегаты по группам; порог группы — в главе 8.

Согласие: отдельным документом и только там, где нужно

С 01.09.2025 согласие на обработку ПДн оформляется отдельно от иных информации и документов (ч. 1 ст. 9 152-ФЗ в ред. 156-ФЗ)⁠[L3]⁠[L4]. Встроить его в трудовой договор или лист ознакомления с положением больше нельзя. Прежний тезис Роскомнадзора о согласии «в тексте трудового договора» устарел⁠[L29].

Согласие — слабое основание: работник вправе его отозвать. Но отзыв не останавливает обработку, если у неё есть другие основания из пп. 2–11 ч. 1 ст. 6 (ч. 2 ст. 9)⁠[L3]. Поэтому стройте программу так, чтобы она работала без согласия, а согласие берите только на то, что без него рискованно.

Светофор легенд

Прогоните каждый шаблон из библиотеки через три цвета до того, как он попадёт в кампанию. Жёлтый цвет значит: легенда допустима, но только с условием, записанным в карточке кампании (глава 9).

Красные линии и их основания

Эти действия превращают учебную атаку в настоящее правонарушение или в спор, который компания не выиграет. Основания разные — от УК до правил регистрации доменов.

Сценарии «фейк-босс» с синтезированным голосом или видео требуют ещё и правил об ИИ — они в главе 11.

Этика: учебная атака не должна ранить

Рекомендация АВАТЕК: пять тем не годятся для учебных атак. Письмо на такую тему измеряет не навык, а страх, и разрушает доверие к программе. Пять честных правил держат программу в рамках.

После ошибки: разбор, а не наказание

Автоматических санкций по результатам учебных атак быть не должно. Решения, которые порождают юридические последствия или затрагивают права, нельзя принимать только на основании автоматизированной обработки (ст. 16 152-ФЗ)⁠[L11]; то же правило есть в п. 6 ст. 86 ТК⁠[L64]. По нашему прочтению, автоматически назначенный курс прав не затрагивает, а автоматическое ограничение доступа или премии — затрагивает (вопрос юристу — в главе 8).

Если ЛНА о премировании связывает снижение премии с дисциплинарным взысканием, снижение возможно только за период взыскания и не более чем на 20% месячной зарплаты (ч. 3 ст. 135 ТК, с 01.09.2025)⁠[L67]. Рекомендуем не связывать премию с учебными атаками вовсе. Подробнее об ответственности работника — в главе 5.

Работники подрядчиков

Если у работников подрядчика есть ваша служебная почта, их тоже можно включить в кампанию — но их данные вы получили не от них. Нужны два документа:

• уведомление самим работникам о получении их ПДн, если оно требуется (ч. 3 ст. 18 152-ФЗ)⁠[L12];
• письменное подтверждение подрядчика, что у него есть основание передать вам эти данные (ч. 8 ст. 9)⁠[L3] — шаблон F.4 в приложении F.

Участие в программе запишите в договор с подрядчиком. Остальные требования к подрядчикам — в главе 13.

Тайна переписки и мониторинг

Программа касается переписки в трёх местах: кнопка «Сообщить» пересылает письмо целиком, часто с ПДн третьих лиц, в SOC или вендору; шлюз проверяет почту; DLP контролирует запросы к ИИ-сервисам.

Каждый имеет право на тайну переписки; ограничить его можно только по решению суда (ст. 23 Конституции)⁠[L153]. Нарушение тайны переписки — ст. 138 УК: по ч. 1 штраф до 80 тыс. ₽, по ч. 2 (с использованием служебного положения, из корыстной заинтересованности, группой) — до 4 лет лишения свободы⁠[L154]. Тайна связи по ст. 63 закона «О связи» — обязанность операторов связи; для корпоративной почты работодателя это рамка, а не прямая норма⁠[L155].

Прямой нормы о мониторинге корпоративной почты нет. Консервативная конструкция — пять шагов:

Как устроить кнопку «Сообщить» и что отвечать работникам — в главе 12.

Удалённые работники и личные устройства

Работодатель обеспечивает дистанционного работника оборудованием, программами и средствами защиты информации. Работник может работать на своём оборудовании с согласия или ведома работодателя, с компенсацией (ст. 312.6 ТК)⁠[L156]. Для учебных атак это значит:

• учебные вложения, макросы и съёмные носители — только на устройствах, выданных компанией⁠[L55];
• на личных устройствах — только письма и ссылки без запуска кода или с письменного согласия владельца устройства (п. 11 Пленума ВС № 37)⁠[L55];
• с положением дистанционного работника знакомят так, как принято для него: под роспись, обменом электронными документами или в иной форме, предусмотренной коллективным договором, ЛНА или трудовым договором (ст. 312.3 ТК)⁠[L156].

Чек-лист запуска программы

Двенадцать шагов в том порядке, в котором они зависят друг от друга. Первая кампания — после двенадцатой галочки.

• ЛНА. Положение об имитационных атаках утверждено (приложение A); где требуется, учтено мнение профсоюза (ст. 372 ТК)⁠[L61].
• Ознакомление. Все участники ознакомлены под роспись или через ЭДО при трёх условиях⁠[L61]⁠[L62]; дистанционные — по ст. 312.3 ТК⁠[L156].
• Политика. В политику обработки ПДн добавлена цель программы, редакция опубликована⁠[L14].
• Уведомление Роскомнадзора. Сведения обновлены не позднее 15-го числа следующего месяца⁠[L17].
• Оценка вреда. Акт по приказу РКН № 178 подписан⁠[L20].
• Поручение. Договор с вендором содержит обязательные условия ч. 3 ст. 6 152-ФЗ (приложение B)⁠[L2].
• Согласия. Отдельные согласия собраны там, где они нужны (приложение F)⁠[L3]⁠[L4].
• Минимизация. Платформа не сохраняет пароли и введённые значения, срок хранения результатов задан⁠[L1].
• Роли доступа. Список ролей, которые видят персональные результаты, утверждён; руководители получают агрегаты⁠[L64].
• Учебные домены. Нейтральные, без сходства с чужими товарными знаками и госсервисами⁠[L73]⁠[L74].
• Почтовая защита. Шлюз и антиспам пропускают учебные письма по согласованным правилам; SOC знает о кампании и не расследует её как настоящую атаку.
• Разбор после клика. Страница разбора называет компанию и программу и ведёт к короткому уроку. По нашему прочтению, так снимается и вопрос о сведениях о распространителе (ч. 2 ст. 10 149-ФЗ)⁠[L106].

Ответственность: компания, работник, CISO

Нормы — по состоянию на 26.09.2026

Эта глава — честная карта рисков. Что грозит компании, работнику и лично руководителю ИБ, какие правила меняют сумму и какие документы снижают риск. Суммы — из текста норм, без пересказов.

Обязанности, из которых вырастают эти санкции, — в главе 3. Здесь — цена их нарушения.

Ст. 13.11 КоАП: кто платит и сколько

Суммы — по тексту статьи в редакции КоАП от 26.07.2026⁠[L34]. Ч. 10–18 действуют с 30.05.2025⁠[L35]. Главное различие — между коммерческой компанией и госсектором: в ч. 10–18 они платят по-разному.

Ч. 12 начинается с 1 тыс. субъектов или 10 тыс. идентификаторов⁠[L34]. Какая часть статьи применяется к утечке меньшего объёма, закон прямо не говорит; ч. 1 по тексту исключает только случаи ч. 2 и 11–18⁠[L34]. Это важно лично для руководителя ИБ коммерческой компании: если такую утечку квалифицируют по ч. 1, штраф может получить и должностное лицо — 50–100 тыс. ₽⁠[L34].

Правила, которые меняют сумму

Сумма из таблицы — не окончательный ответ. Общие нормы КоАП её уменьшают, увеличивают или снимают. Семь из них касаются каждого оператора ПДн.

Кто рассматривает дела. С 30.05 по 31.12.2025 дела по ст. 13.11 против юрлиц и ИП рассматривали арбитражные суды. С 01.01.2026 их снова рассматривают суды общей юрисдикции: мировые судьи, а после административного расследования — районные суды⁠[L42]⁠[L161]. Норма об арбитражной подсудности говорила только о юрлицах и ИП. Поэтому дела против должностных лиц и граждан, по нашему прочтению, всё это время оставались у мировых судей.

Смягчение оборотного штрафа: три условия

Оборотный штраф по ч. 15 и 18 ст. 13.11 назначается в размере одной десятой минимального штрафа, но не меньше 15 и не больше 50 млн ₽, если одновременно выполнены три условия⁠[L36]. Суд проверяет их при вынесении постановления, но относятся они к периоду до выявления нарушения: исправить их после утечки нельзя. Это не усмотрение суда: при трёх условиях норма обязывает назначить меньшую сумму.

1. В каждом из трёх календарных лет до года выявления расходы на мероприятия по ИБ составили не меньше 0,1% выручки (у кредитной организации — 0,1% собственных средств (капитала)). Засчитываются работы лицензиатов ФСТЭК России по технической защите конфиденциальной информации (ТЗКИ) или ФСБ России по шифровальным средствам либо самого оператора, если лицензия есть у него⁠[L36]⁠[L157].
2. Соблюдение требований к защите ПДн в информационных системах подтверждено документально проверкой в течение 12 месяцев до выявления⁠[L36].
3. Нет отягчающих обстоятельств по примечанию 5 к ст. 13.11: продолжения противоправного поведения вопреки требованию его прекратить и статуса лица, подвергнутого наказанию по ч. 1–11 ст. 13.11, ст. 13.6 или 13.12⁠[L34]⁠[L36].

Первое условие — финансовое, его надо вести три года заранее. Второе — документ, его надо обновлять ежегодно. Третье зависит от истории нарушений. Одно условие без двух других смягчения не даёт.

Что говорит практика

Одно решение, прочитанное в первоисточнике, — постановление Верховного Суда № 5-АД25-119-К2 от 21.01.2026. Утечка случилась через подрядчика. Штраф по ч. 1 ст. 13.11 оставлен в силе: взлом через подрядчика не освобождает оператора, который не доказал внутренний контроль и меры по ст. 18.1, 19 и 22.1 152-ФЗ. Утечку подтвердили лишь после запроса надзорного органа⁠[L124].

О решениях по новым ч. 12–18 известно в основном из пересказов в СМИ. Их тексты мы не читали, поэтому суммы и выводы из них в книгу не вошли. Планируйте по тексту закона, а не по отдельным новостям о мягких решениях.

Другие составы КоАП

Ст. 13.11 — не единственная статья, которая касается программы. Штрафы ниже, но часть из них грозит лично работнику и руководителю ИБ, а некоторые — дисквалификацией. Суммы — по редакции КоАП от 26.07.2026.

Уголовная ответственность

По УК отвечают люди: работник, руководитель ИБ, администратор. Для программы важны две вещи. Первая — какие действия работников ИБ сами могут стать составом. Вторая — когда быстрое сообщение помогает человеку.

С 20.04.2026 (расчётно) примечание к ст. 274.1 освобождает от уголовной ответственности только по ч. 3 и только при двух условиях: лицо активно способствовало раскрытию и (или) расследованию, в том числе сохранило следы, и в его действиях нет иного состава⁠[L57]. Норма говорит «освобождается»: если оба условия выполнены, освобождение обязательно, а не на усмотрение суда. Выполнены ли они, решают следствие и суд, поэтому в памятках пишем «может освободить». На ч. 4, ст. 13.12.2 КоАП и дисциплинарную ответственность примечание не распространяется⁠[L57].

Узость нормы видна по статистике. В 2024 году по ст. 274.1 как основной статье осуждены 77 человек, из них 64 — по ч. 4, групповые эпизоды и с использованием служебного положения⁠[L147]. На такие деяния примечание не распространяется.

Работник: что можно и чего нельзя

Сам по себе клик в учебном письме, по нашему прочтению, не проступок. Взыскание возможно только за неисполнение по вине работника обязанности, которая закреплена в локальном нормативном акте (ЛНА) или трудовом договоре и с которой он ознакомлен под роспись, и только по процедуре ст. 193 ТК⁠[L65]⁠[L61]. Решение, которое затрагивает права работника, нельзя принять только по автоматическому риск-скору⁠[L11]⁠[L64].

Процедура взыскания. Работодатель запрашивает письменное объяснение; если через 2 рабочих дня его нет, составляется акт. Взыскание — не позднее 1 месяца со дня обнаружения и 6 месяцев со дня проступка. За один проступок — одно взыскание, соразмерное тяжести⁠[L65]⁠[L69].

Пример без суда. Хранение паролей в открытом файле — нарушение политики ИБ, если в ней есть такой запрет и работник ознакомлен с ней под роспись⁠[L61]⁠[L65]. Как записать такую обязанность, чтобы взыскание было защитимо, — в главе 7; чем доказать ознакомление — в главе 10.

Обязанность сообщать. Работник обязан незамедлительно сообщить работодателю о ситуации, которая угрожает сохранности имущества работодателя⁠[L63]. На эту норму опирается правило «сообщи о подозрительном письме». Во втором уведомлении Роскомнадзора об утечке указывают лиц, чьи действия стали причиной, вплоть до ФИО и должности⁠[L16]⁠[L23]. Поэтому быстрое сообщение важно и для самого работника.

CISO лично

Руководитель ИБ отвечает по КоАП как должностное лицо: так КоАП называет работника с организационно-распорядительными функциями⁠[L43]. Главное, что меняет картину, — тип организации. В коммерческой компании личный денежный риск ограничен десятками и сотнями тысяч рублей, в госсекторе он доходит до 2 млн ₽⁠[L34].

Ответственный за организацию обработки ПДн (ответственный за ПДн) обязан доводить до работников законодательство о ПДн, локальные акты и требования к защите⁠[L18]. Отдельной санкции для этой роли нет: риск — дисциплинарный и как должностного лица.

Кто и за что отвечает

Одна таблица на всю главу: три участника, четыре вида ответственности. Покажите её юристу и HR до запуска программы — у каждого из них своя клетка.

Документ, который снижает риск

К каждой норме — документ, который стоит иметь до инцидента. Задним числом его не создать, а без него защита сводится к словам.

Экспозицию по ст. 13.11 для страницы совета директоров считайте по этой главе, а показывайте как размер возможного штрафа, не как вероятность (глава 16).

От сообщения работника до регулятора: сроки и маршрут

Нормы — по состоянию на 26.09.2026

Сообщение работника имеет смысл, только если оно успевает к регулятору. У Роскомнадзора, НКЦКИ и Банка России свои часы, и все они начинаются раньше, чем кажется. Глава связывает кнопку «Сообщить» с этими часами: таблица сроков под ваш режим, маршрут от клика до второго уведомления, шаблон журнала и сценарий учения.

Сообщение за минуты — условие уложиться в часы

Часы идут с момента выявления (в приказах ФСБ — обнаружения) инцидента⁠[L16]⁠[L85]. Считается ли выявлением то, что заметил работник, закон прямо не говорит — этот вопрос разобран ниже. Но на практике работник, который сообщает после обеда о письме, открытом утром, отдаёт злоумышленнику несколько часов, а команде оставляет меньше времени: если регулятор начнёт отсчёт раньше, чем вы, трёх часов банка и значимого объекта КИИ уже не будет. На разбор, решение и подготовку уведомления остаётся то, что не потратил человек.

Опора правила «сообщи» есть в трудовом праве: работник обязан незамедлительно сообщать о ситуации, которая угрожает имуществу работодателя⁠[L63]. Задача руководителя ИБ — превратить эту общую обязанность в конкретный маршрут со временем на каждом шаге.

Все сроки: четыре режима

У одной утечки может быть три адресата: Роскомнадзор по ПДн, НКЦКИ по КИИ или ГИС, Банк России для банка. Часы у каждого свои и идут параллельно. Первая вкладка касается всех; остальные добавляются к ней, если вы субъект КИИ, оператор ГИС или финансовая организация. Полный календарь, включая уведомления об обработке и внутренние сроки, — в приложении C.

Часы регулятора

Маршрут ниже соединяет кнопку «Сообщить» с уведомлением. Нормативные сроки — со сносками. Внутренние отрезки (30 минут на сортировку, 2 часа на решение) — наша рекомендация: без них 3 часа банка и значимого объекта КИИ расходуются на поиск того, кто должен решать.

С какого момента идут часы

Закон считает 24 и 72 часа с момента выявления инцидента, причём выявить его может не только сам оператор, но и Роскомнадзор или иное заинтересованное лицо⁠[L16]. Когда первым сигналом стало сообщение работника, прямой нормы о начале отсчёта нет: это может быть время сообщения, время, когда ИБ его прочитала, или время, когда подтвердилось, что ПДн ушли и права субъектов нарушены.

По нашему прочтению, безопаснее считать от получения сообщения службой ИБ и вести журнал так, чтобы каждое следующее решение было видно со временем и основаниями. Если окажется, что инцидента не было, запись просто закроется. Если был — журнал покажет, что организация не тянула время.

Почему журнал важен. В постановлении Верховного Суда № 5-АД25-119-К2 суд отметил, что доказательств принятых мер, в том числе внутреннего контроля, в деле нет, а размещение ПДн в интернете оператор подтвердил лишь после запроса надзорного органа⁠[L124]. Это убедительная позиция, а не разъяснение Пленума (статус — в главе 5), но вывод для программы прямой: время сообщения, время решения и основания должны оставаться в документах, а не в памяти дежурного.

Имя работника в 72-часовом уведомлении

Во втором уведомлении оператор сообщает о лицах, чьи действия стали причиной инцидента (при наличии)⁠[L16]. Приказ Роскомнадзора № 187 уточняет: если причиной стали действия работника, указываются его ФИО и должность⁠[L23]. Для культуры сообщений это неудобно: работник, который сам признался, что ввёл пароль, может оказаться в документе для регулятора.

Как совместить это с культурой без поиска виноватых и что заранее сказать работникам, — в главе 12. Для журнала и уведомления важно одно: причину фиксируют факты расследования, а не решение о взыскании.

КИИ: сообщи сразу и ничего не удаляй

Примечание к ст. 274.1 УК освобождает от уголовной ответственности по ч. 3 того, кто активно способствовал раскрытию и (или) расследованию, в том числе сохранил следы, если в его действиях нет иного состава⁠[L57]. Как устроена эта норма и почему она узкая, — в главе 5. Для маршрута сообщения из неё следует одно правило.

Граница этого правила узкая, и в памятке её стоит назвать.

• Только ч. 3. На ч. 4 — те же действия группой или с использованием служебного положения — примечание не распространяется⁠[L57].
• Административная ответственность по ст. 13.12.2 КоАП за нарушение правил эксплуатации и доступа к КИИ остаётся: 5–10 тыс. ₽ гражданину⁠[L46]⁠[L57]. Дисциплинарная — тоже.
• «Сохранить следы» — практическая инструкция: не удалять письмо, не чистить корзину и историю, не выключать и не переустанавливать устройство до указания ИБ.

Для всех остальных организаций опора правила «сообщи» — ст. 21 ТК: работник обязан незамедлительно сообщать работодателю или непосредственному руководителю о ситуации, которая угрожает сохранности имущества работодателя⁠[L63]. Чтобы это стало конкретной обязанностью, впишите в политику ИБ, о чём и как сообщать, включая собственные ошибки, и ознакомьте с ней под роспись⁠[L61].

Журнал сообщения

Журнал — главный документ главы. Он показывает, когда организация узнала об инциденте, кто и на каком основании решал и уложились ли в 24 и 72 часа⁠[L16]. Ведите его в системе реагирования или SIEM; ниже — минимальный набор полей.

Учения: что требуют нормы

Сроки уведомления нельзя проверить на бумаге. Их проверяют учением, где часы идут по-настоящему. Для части организаций учения обязательны.

Если организация получает от НКЦКИ сведения об угрозах в порядке взаимодействия с ГосСОПКА (приказ ФСБ № 548), превращайте их в короткие предупреждения работникам: какое письмо ходит, по каким признакам его узнать, куда сообщать⁠[L86].

Настольное учение на 90 минут

Участники: руководитель ИБ, дежурный SOC, ответственный за ПДн, юрист, HR, представитель связей с общественностью, владелец затронутой системы. Ведущий выдаёт вводные по одной, наблюдатель с секундомером записывает время каждого решения. Вводные ниже — пример для коммерческой компании; для банка и значимого объекта КИИ сократите отрезки, чтобы уложить решение в 3 часа.

Протокол учения, журнал и доклад руководству складывайте в пакет доказательств (приложение D). Когда проводить учения в течение года, показывает глава 15.

Карта поведения: какие действия людей создают риск

Эта глава — каталог действий работников: что безопасно, что рискованно, как это заметить и с чего начать в первый год. Во второй половине — действия, которые закон 2024–2026 годов уже назвал правонарушениями, и что из этого следует для программы.

Курс отвечает на вопрос «о чём рассказать». Программе нужен другой вопрос: «какое действие человека мы хотим увидеть и как его заметим». Поэтому начинайте не с тем обучения, а со списка наблюдаемых действий.

Готовый список — каталог AVADB Risk. В нём 102 показателя безопасного поведения в 10 категориях, 4 тира приоритета и 7 типов последствий. По тирам: 22 показателя в первом, высшем, затем 35, 25 и 20.

Безопасно или рискованно: по одному примеру на категорию

Число после категории — сколько показателей в неё входит. Один показатель может входить в несколько категорий, поэтому сумма больше 102. Звонки, SMS и сообщения в мессенджерах как канал учебной атаки имеют свои правовые условия — они в главе 9.

Ядро на первый год

AVA_DB087 в каталоге стоит в третьем тире, но для программы это поведение номер один. Оно измеримо в каждой кампании и сразу даёт сигнал SOC. У него есть и правовая опора: работник обязан незамедлительно сообщать работодателю о ситуации, которая угрожает сохранности имущества работодателя (ст. 21 ТК)⁠[L63]. Метрики к таблице — в главе 8.

Приоритеты по ролям

• Финансы и бухгалтерия: AVA_DB082 и AVA_DB080 «Проверка легитимности неизвестного звонящего». Платёж и смена реквизитов — только после проверки по второму каналу.
• Руководители и их помощники: AVA_DB114. Их именем пользуются в схеме «фейк-босс»⁠[S9].
• HR и подбор: AVA_DB164. Резюме от незнакомых людей приходят во вложениях постоянно.
• ИТ-поддержка: AVA_DB080 и AVA_DB089. Сброс пароля по звонку — классический вход.
• Фронт-офис банков, НФО, операторов связи и госкомпаний: AVA_DB185 «Передача данных только через одобренные каналы». Информировать граждан через иностранные мессенджеры этим организациям запрещено с 01.06.2025 (ч. 1 ст. 15 41-ФЗ)⁠[L105].
• Работники с доступом к значимым объектам КИИ: AVA_DB129 «Удалённый доступ только по согласованию» и AVA_DB128 «Подключение к сети только одобренных устройств». Правила эксплуатации и доступа — теперь отдельный состав КоАП (ниже).
• Владельцы УКЭП — бухгалтерия, юристы, врачи: AVA_DB069 «Сообщение о потере или краже устройства». О компрометации ключа нужно сообщить в удостоверяющий центр не позднее 1 рабочего дня⁠[L114].
• Все работники: AVA_DB087 и AVA_DB013 — сообщить о подозрительном и об инциденте.

Поведения, за которые закон уже спрашивает

С 2024 по 2026 год несколько бытовых действий работников стали отдельными составами КоАП и УК. Для программы это не повод пугать штрафами. Это повод включить такие действия в каталог и закрепить обязанность в локальном нормативном акте (ЛНА) с ознакомлением под роспись: без этого нельзя ни требовать, ни спрашивать.

Столбец «Правовое последствие» — для контекста. Он объясняет руководителю ИБ, юристу и HR, почему поведение стоит в приоритете. Работнику в курсе нужна другая часть строки: что делать вместо рискованного действия.

Код из SMS: где норма спорная

Ст. 13.29.2 КоАП говорит не о любых паролях, а об информации, «необходимой для регистрации и (или) авторизации пользователя сети «Интернет» для получения доступа к функциональным возможностям информационного ресурса». Правонарушением не считается её передача иному лицу для правомерного использования по поручению пользователя или с его согласия⁠[L51]. Распространяется ли статья на учётные записи во внутренних корпоративных системах, закон прямо не говорит; не применяйте её к ним в положениях HR. Работник, которого обманом убедили продиктовать код от интернет-сервиса, формально передал данные для входа. Но вина обманутого человека сомнительна, и прямого ответа, применяется ли к нему штраф, закон не даёт.

КИИ: правила работают, только если доведены

С 20.04.2026 (расчётно) нарушение правил эксплуатации и доступа к объектам КИИ — отдельный состав ст. 13.12.2 КоАП, в том числе для работника-гражданина⁠[L46]. Статья наказывает за нарушение правил. Для похожей уголовной статьи, ст. 274 УК, Пленум Верховного Суда РФ прямо указал: обязанность соблюдать правила из локального акта должна быть доведена до лица — например, при подписании трудового договора или отдельного акта ознакомления (п. 12 постановления № 37)⁠[L55]⁠[L56].

Прямой нормы о том же для ст. 13.12.2 нет. По нашему прочтению, логика та же: работника, которого не ознакомили с правилами, привлечь трудно, а нарушение остаётся на компании. Отсюда три действия:

1. Правила эксплуатации и доступа — в организационно-распорядительных документах (ОРД) по объекту.
2. Ознакомление с этими документами, в том числе представителей подрядчиков (п. 16 приказа ФСТЭК № 235)⁠[L77]. Подпись приказ не требует, но без неё ознакомление трудно доказать.
3. Повторение: мероприятия по повышению знаний — не реже раза в год (п. 15 того же приказа)⁠[L77].

Пароль в файле: правило вместо прецедента

Рискованное действие становится дисциплинарным проступком, только если обязанность закреплена и работник с ней ознакомлен. Для паролей в открытом файле это три условия:

1. Обязанность записана конкретно: «не хранить пароли в открытом виде — в файлах, заметках, на бумаге у монитора». Общая фраза «соблюдать требования ИБ» плохо работает как основание взыскания.
2. Работник ознакомлен с политикой под роспись, при приёме — до подписания трудового договора (ст. 22, ч. 3 ст. 68 ТК)⁠[L61]. Отчёт платформы обучения заменяет подпись только в кадровом ЭДО по ст. 22.1–22.3 ТК⁠[L62]; для дистанционных работников — ещё и в формах по ст. 312.3 ТК⁠[L156].
3. Взыскание — только замечание, выговор или увольнение, с объяснением за 2 рабочих дня, в сроки 1 и 6 месяцев и соразмерно проступку. Штрафы работникам запрещены⁠[L65].

Клик в учебном письме — другое дело. Рекомендуем не наказывать за него вовсе: по нашему прочтению, сам по себе клик не нарушает закреплённой обязанности (это вопрос к юристу), а наказание убивает сообщения. Правовая рамка учебных атак — в главе 4, ответственность работника — в главе 5, ознакомление и его доказательство — в главе 10.

Чего нет в каталоге: поведение с ИИ

Среди 102 показателей AVADB нет отдельного показателя о работе с нейросетями: что можно вставлять в запрос и какими сервисами пользоваться. А риск уже измерен: 38% обращений к общедоступному ИИ на пилотах DLP содержали конфиденциальные данные (оценка «Солара»)⁠[S20].

Пока отдельного показателя нет, опирайтесь на ближайшие: AVA_DB156 «Передача данных только через одобренные сервисы», AVA_DB185 «Передача данных только через одобренные каналы» и AVA_DB091 «Передача данных только одобренным получателям». Данные для них даёт DLP, а не учебные атаки. Правила и их правовая опора — в главе 11.

Метрики, которые управляют риском и служат доказательством

У метрик программы две задачи. Первая — управлять риском: показать совету, стало ли безопаснее. Вторая — служить доказательством: показать проверяющему и суду, что компания приняла все зависящие от неё меры (ч. 2 ст. 2.1 КоАП)⁠[L43]. Хорошая метрика решает обе задачи одними и теми же записями. Эта глава — словарь таких метрик, правила их чтения и правила доступа к ним.

Совет задаёт один вопрос: «Стало ли безопаснее?» Ответ «курс прошли почти все» его не закрывает. Считайте три уровня и показывайте совету второй и третий:

1. Активность — охват, прохождение курсов. Нужна для контроля и для доказательства, но о риске ничего не говорит.
2. Поведение — провалы, сообщения, пропуски, повторные провалы.
3. Результат — реальные сообщения, доля подтверждённых, скорость реакции SOC и решения об уведомлении.

Словарь метрик поведения

Правила интерпретации

• Сравнивайте только кампании одной сложности. Лёгкая рассылка после сложной — не прогресс.
• Время считайте медианой, а не средним.
• Разбивка по ролям и филиалам важнее общего числа: риск живёт в отделах.
• «Кликнул и сообщил» — частичный успех. Такой работник есть и в провалах, и в сообщениях; показывайте его отдельной строкой.
• Цели ставьте от своей базовой линии, а не от чужих средних.
• Руководителю подразделения — агрегаты по группам не меньше пяти человек, чтобы нельзя было вычислить конкретного.
• Метрики — не основание для наказаний. Если за провал наказывают, кликнувший промолчит, и вы потеряете самое ценное сообщение.

Мировые ориентиры — не цели

Публичных российских данных о доле сообщений с раскрытой методикой мы не нашли. Ниже — мировые исследования. Это не российские ориентиры и не результаты AVAREANGE: они показывают, как ведут себя метрики, но не задают планку.

Метрики, которые служат доказательством

Регулятор не спрашивает процент кликов. Он спрашивает документ: кто ознакомлен и когда, что проверено, как быстро приняли решение. Эти же данные — метрики. Если считать их из первичных записей с датами, одна выгрузка работает и для управления, и для проверки.

Кто видит метрики

Результаты учебных атак — персональные данные работников. Ниже — минимум, который следует из 152-ФЗ и ТК, и наши рекомендации сверх него.

Только события. Фиксируйте доставку, открытие, клик, факт ввода данных и сообщение. Значения полей, пароли и тексты ответов не храните: объём данных не должен быть избыточным для цели (ст. 5 152-ФЗ)⁠[L1].

Решение принимает человек. Решения, которые порождают юридические последствия или иначе затрагивают права работника, нельзя принимать только на основании автоматизированной обработки (ст. 16 152-ФЗ, п. 6 ст. 86 ТК)⁠[L11]⁠[L64]. Риск-скор — повод для разговора и курса, а не приговор. По нашему прочтению, автоматическое назначение курса права, вероятно, не затрагивает, а автоматическое ограничение доступа или снижение премии — затрагивает.

Срок хранения. Закон его не задаёт — закрепите срок в ЛНА. По достижении цели данные уничтожают не позднее 30 дней (ч. 4 ст. 21 152-ФЗ)⁠[L16]. При этом срок давности по ст. 13.11 КоАП — 1 год⁠[L39], и доказательства должны его пережить. Рекомендуем разделить: факт мероприятия и агрегаты (дата, охват, результат по группе) хранить дольше, персональные результаты — по сроку из ЛНА.

Имитационные атаки: каналы, сложность, частота

Учебная атака — это измерение, а не ловушка. Её цель — узнать, как люди поведут себя в настоящей атаке, и дать им безопасно ошибиться. Правовые рамки программы — основания, согласия, красные линии — описаны в главе 4. Здесь практика: какие каналы и при каких условиях, как строить легенды и сложность, как часто проводить кампании и что записать в карточку кампании.

Каналы: где атакуют и что для этого нужно

Почта остаётся главным входом: 64% целевых атак на организации России и СНГ начинались с фишингового письма (оценка BI.ZONE)⁠[S2]. Но одной почты мало. В мировых данных медианная доля кликов в голосе и SMS на 40% выше, чем в почте (35 кампаний)⁠[S13], а в мессенджерах самая популярная дипфейк-схема — «фейк-босс» (оценка «Сбера»)⁠[S9].

У каждого канала свои правовые условия. Почта — самая простая: служебный адрес принадлежит работодателю. SMS и звонки упираются в закон о связи, мессенджеры — в антифрод-закон, носители и вложения с кодом — в уголовное право. Правовая основа программы в целом — в главе 4.

Легенды: из рабочей рутины и из признаков Банка России

Легенда важнее канала. В тренировочных рассылках МегаФона и «Лаборатории Касперского» по ссылке в письме с темой «Необходимо согласование запроса» перешли 48% получателей⁠[S1]. Это данные чужих платформ, не AVAREANGE, но вывод общий: лучше всего работают легенды, похожие на обычную работу.

Второй источник легенд — признаки переводов без согласия клиента, которые Банк России утвердил для банков с 01.01.2026 (приказ ОД-2506)⁠[L104]. Потери несут не только граждане: во II квартале 2026 года на юрлиц пришлось 11,3% потерь от операций без согласия⁠[L143]. Учебная атака по такому признаку тренирует действие, которое ломает реальную схему.

Сложность: от человека, а не от шаблона

• Разметьте шаблоны по трём уровням: явные признаки (чужой домен, ошибки) → правдоподобная легенда под роль → контекст компании, знакомые имена и актуальный повод.
• Базовую линию снимайте на среднем уровне и на всех работниках.
• Тем, кто стабильно сообщает, повышайте сложность. Тем, кто ошибается повторно, оставьте уровень и добавьте разбор.
• Сравнивайте кампании только внутри одного уровня: в одном исследовании доля провалов менялась от 1,82% до 30,8% в зависимости от легенды письма⁠[S19].

Частота: решает организация, но в ГИС и КИИ есть минимум

Частоту именно учебных атак не задаёт ни один акт. Приказ № 117 отдаёт её регламентам оператора⁠[L80], приказ № 239 — документам субъекта КИИ⁠[L79]. Но у ГИС и КИИ есть минимальные сроки для оценки знаний и тренировок, в которые учебные атаки естественно встраиваются.

Госсектор: одна кампания для двух пунктов приказа № 117

По нашему прочтению, учебная кампания может одновременно закрывать п. 56 «в» (повышение знаний) и п. 66 «г» (тренировка в рамках контроля защищённости), если оператор выбрал этот метод контроля. Тогда её результаты входят в отчёт по п. 67: руководителю — за 3 рабочих дня, в ФСТЭК России — за 5 рабочих дней⁠[L80].

1. Впишите кампанию в программу контроля защищённости как плановую тренировку по п. 66 «г».
2. В карточке кампании (ниже) укажите оба пункта и связь с актуальными угрозами из модели угроз.
3. Итоги — в двух местах: в журнале повышения знаний по п. 57 и в отчёте по п. 67.

Разбор сообщённых писем без чтения личной переписки

Во время кампании работники пересылают через кнопку «Сообщить» не только учебные письма, но и настоящие — часто с данными третьих лиц. Поэтому разбор строится так, чтобы личная переписка в него не попадала: SOC получает заголовки, ссылки и вложения на анализ, вендор — только технические признаки, без текста письма и ПДн третьих лиц, если иное не нужно для разбора⁠[L1].

Правовая конструкция из пяти шагов и вопрос юристу о тайне переписки — в главе 4, настройка кнопки и что знать работникам — в главе 12, сроки уведомления и маршрут сообщения — в главе 6.

Внешний пентест с социальной инженерией

Если учебную атаку проводит внешний исполнитель в рамках теста на проникновение, для финансовых организаций ориентир — методические рекомендации Банка России 2-МР: в техническом задании указать факторы риска для работников (угрозы, шантаж, личные соцсети) и условия немедленной остановки⁠[L111]. Рекомендуем то же условие в ТЗ для любой отрасли. Если исполнитель обрабатывает ПДн работников по вашему поручению, нужен договор поручения (ч. 3 ст. 6 152-ФЗ)⁠[L2], а при осторожном подходе книги — и отдельное письменное согласие работников (приложение F); что должно быть в поручении — в главе 13.

Два правила, без которых программа не работает

• Без наказания за провал. Клик в учебном письме — измерение навыка. Решения, затрагивающие права работника, нельзя принимать только по результатам автоматической обработки (ст. 16 152-ФЗ, п. 6 ст. 86 ТК)⁠[L11]⁠[L64].
• Без публичных списков. Персональные результаты видят только роли из положения; руководители получают агрегаты. Передача ПДн работника внутри организации — только уполномоченным лицам (ст. 88 ТК)⁠[L64].

Запрещённые темы, светофор легенд и красные линии — в главе 4; что происходит после ошибки — в главе 10.

Карточка кампании

Одна страница на кампанию. Её заполняют до запуска, а после — прикладывают отчёт. Это первый документ, который попросит проверяющий, если захочет разобрать конкретную кампанию. Карточка — приложение к положению об имитационных атаках (приложение A).

Обучение и доказательство обучения

Обучение нужно для двух вещей: навыка и следа. Навык снижает риск: человек быстро сообщает и не доводит ошибку до пароля или платежа. След нужен проверяющему и суду: он показывает, что работник знал правило и его учили. Глава — о том, что требуют нормы, чем ознакомление отличается от обучения, как учить в момент ошибки и какие двенадцать документов держать под рукой.

Что требуют нормы

Если вы не оператор ГИС, не субъект КИИ, не банк, не НФО и не субъект НПС, прямая норма об обучении одна — п. 6 ч. 1 ст. 18.1 152-ФЗ. Она касается только работников, непосредственно обрабатывающих ПДн, и допускает одно ознакомление без обучения⁠[L14]. Отраслевые режимы требуют больше и задают сроки.

Полная таблица с доказательствами, надзором и санкциями — в приложении D. Для самооценки зрелости по Методике ФСТЭК от 07.08.2026 важно другое: максимальный балл за «Обучение» даёт только утверждённая программа по категориям работников с контролем знаний и умений; эпизодическое обучение — 0,3, обучение без системы и измерения — 0,5⁠[L83]. Подробнее — в главе 2.

Ознакомление и обучение — разные доказательства

Проверяющий и суд задают два разных вопроса: знал ли работник правило и умеет ли он его выполнять. На первый отвечает подпись под ЛНА, на второй — результаты курса, теста и учебных атак. Одно не заменяет другое.

Отчёт LMS или платформы заменяет подпись об ознакомлении, только если выполнены три условия кадрового электронного документооборота (ст. 22.1–22.3 ТК)⁠[L62]:

1. система указана в ЛНА об электронном документообороте (ст. 22.2);
2. работник дал письменное согласие на переход (без согласия — только принятые после 31.12.2021 и не имеющие трудового стажа);
3. с работником есть соглашение о простой электронной подписи (ч. 5 ст. 22.3).

Дистанционных работников знакомят с ЛНА под роспись, обменом электронными документами или в форме, которую задают коллективный договор, ЛНА или трудовой договор (ст. 312.3 ТК)⁠[L156]. Выбранную форму запишите заранее — иначе при споре её будет трудно доказать.

Что говорят данные: клики упрямы, сообщения растут

Два крупных исследования сходятся: обучение слабо снижает клики, но заметно повышает готовность сообщить об атаке. Недавно обученные работники сообщали о фишинге в 21% случаев против базовых 5%⁠[S18], а встроенное обучение в рандомизированном исследовании снизило долю провалов всего на 1,7 процентного пункта⁠[S19]. Остальные цифры этих исследований и то, как читать их без подмены своих целей, — в главе 8.

Вывод для программы: ошибаются почти все, поэтому «уволить кликеров» — не стратегия. Обучение в момент ошибки учит быстро сообщать и не доводить ошибку до ввода пароля или платежа. Главная метрика — доля сообщений (глава 12).

Пять правил обучения в момент ошибки

1. Разбор — сразу. В тот же момент и в том же месте: два-три признака именно этой атаки (домен отправителя, давление сроком, смена реквизитов). Без лекции.
2. Курс — по теме ошибки. Короткий модуль про ту легенду, на которую попался работник, а не повтор годового курса. Автоматическое назначение курса, по нашему прочтению, прав работника, вероятно, не затрагивает (вопрос юристу — в главе 8).
3. Сообщение после клика засчитывается. «Кликнул и сообщил» — частичный успех: для SOC это ранний сигнал. В отчётах эта строка идёт отдельно.
4. Никаких публичных списков. Личный результат видят работник и роли из положения, руководитель — агрегаты по отделу. Передача ПДн работника внутри организации — только уполномоченным лицам (ст. 88 ТК)⁠[L64].
5. Наказание — вне программы. Учебная атака измеряет навык, а не дисциплину. Решения, затрагивающие права работника, нельзя принимать только по автоматической обработке (ст. 16 152-ФЗ)⁠[L11].

Трек повторных провалов

Повторный провал — два и больше опасных действия за последние N кампаний. N задайте в положении, например 6. Опасные действия различаются по тяжести: клик, ответ, запуск вложения, ввод учётных данных.

У трека есть нормативная опора, но нет автоматических санкций:

• тем, у кого знаний нет, — повторное обучение (п. 57 приказа ФСТЭК № 117, для ГИС)⁠[L80];
• работников, систематически показывающих неудовлетворительный уровень знаний, учитывают и докладывают о них руководителю (разд. 3.15 методического документа ФСТЭК от 12.04.2026)⁠[L82];
• доступ или премию не ограничивают автоматически по одному риск-скору: такое решение, по нашему прочтению, затрагивает права работника, а их нельзя принимать исключительно на основании автоматизированной обработки — решает человек (ст. 16 152-ФЗ, п. 6 ст. 86 ТК)⁠[L11]⁠[L64].

Где проходит граница «решения, затрагивающего права», — назначение курса, запись в реестр неуспевающих, ограничение доступа, — вопрос юристу из главы 8.

Четвёртая ступень — главная. Если работник казначейства или ИТ-поддержки раз за разом попадается на одну легенду, ещё один курс не поможет. Помогает контроль, который делает ошибку безопасной: платёж не уйдёт без второго подтверждения, а украденный пароль бесполезен без ключа.

Отказ от обязательного обучения

Клик в учебном письме сам по себе, по нашему прочтению, проступком не является. Другое дело — отказ пройти обучение, без которого работника нельзя допускать к работе. Пленум ВС называет нарушением трудовой дисциплины отказ работника от прохождения в рабочее время специального обучения и сдачи экзаменов по охране труда, технике безопасности и правилам эксплуатации, если это обязательное условие допуска к работе (п. 35 «в» Постановления № 2)⁠[L69]. Об обучении по ИБ там ничего не сказано: применить эту позицию к нему — аналогия, а не устоявшееся правило.

• Закрепите обучение как условие допуска в ЛНА и должностной инструкции: «допуск к ПДн — после вводного курса и теста».
• Взыскание — только по процедуре: объяснение за 2 рабочих дня, не позднее 1 месяца с обнаружения и 6 месяцев со дня проступка, соразмерность; штрафы работникам не допускаются (ст. 192–193 ТК)⁠[L65].
• Проще, чем взыскание: не выдавать доступ, пока курс не пройден.

Кто за что отвечает и что грозит работнику — в главе 5.

Руководители, администраторы, подрядчики

Общая программа не закрывает всех. Для нескольких групп нормы требуют отдельного обучения или отдельного следа.

Руководителям нужен не тот же курс, а короткие занятия про атаки на них самих: «фейк-босс», срочные платежи, голосовые подделки (глава 11). Доклад о результатах учений удобно совместить с отчётом совету (глава 16).

Команда ИБ: квалификация тех, кто учит

Программу ведут люди, у которых тоже есть требования к обучению. В КИИ, ГИС и по профстандарту это три разные нормы.

Пакет доказательств обучения

Юрлицо виновно в правонарушении, если не приняло всех зависящих от него мер (ч. 2 ст. 2.1 КоАП)⁠[L43]. Меры доказывают документами, собранными до инцидента: в постановлении судьи ВС от 21.01.2026 штраф оператору оставлен в силе, в том числе потому, что он не доказал внутренний контроль и меры по ст. 18.1, 19 и 22.1 152-ФЗ⁠[L124] (статус этого решения — в главе 5).

Разметка — наша: она показывает, какой надзор по какой норме спросит документ. Суд смотрит на всё, что доказывает меры; строка 12 нужна только для смягчения оборотного штрафа по ч. 3.4-2 ст. 4.1 КоАП⁠[L36]. Что именно проверяет Роскомнадзор по проверочному листу (пп. 31, 49, 65 приказа № 253)⁠[L31] — в приложении G; полная таблица «норма → доказательство» — в приложении D.

Храните пакет не меньше срока давности по ст. 13.11 и 13.12 КоАП — 1 год⁠[L39] — с запасом на обжалование; акты уничтожения ПДн — 3 года⁠[L21].

Метрики главы

Сравнивайте только кампании сопоставимой сложности. Процент прохождения курсов в отчёте руководству идёт последним и никогда не подаётся как результат. Полный словарь — в главе 8.

ИИ и дипфейки: правила на действующем праве

ИИ меняет человеческий риск с двух сторон. Изнутри: работники сами отдают данные в общедоступные нейросети, чтобы быстрее написать письмо или разобрать таблицу. Снаружи: атакующим стало дешевле звучать убедительно — письмо без ошибок, голос и лицо руководителя. Ждать специального закона не нужно: правила для работников уже стоят на действующем праве. В главе — что меняет 243-ФЗ, пять правил с правовой опорой, требования для ГИС и финансового рынка и метрики.

Три угрозы и главный контроль для каждой

243-ФЗ: рамка, а не запрет

Федеральный закон № 243-ФЗ «О поддержке развития технологий искусственного интеллекта в Российской Федерации» действует с 01.09.2026, его ключевые статьи — с 01.03.2027⁠[L115]. Он регулирует большие фундаментальные модели — от 1 млрд параметров — и почти не создаёт обязанностей для компаний, которые ИИ просто используют⁠[L115].

Национальная стратегия развития ИИ (Указ № 490 в редакции Указа № 124) даёт определение «доверенных технологий ИИ» и принцип безопасности: предупреждать и минимизировать риски несоблюдения конфиденциальности ПДн и раскрытия иной информации ограниченного доступа (п. 19 «б»)⁠[L116]. На определения из Стратегии ссылается приказ ФСТЭК № 117 — это важно для ГИС (см. раздел о режимах ниже).

01Правило 1Реестр ИИ-сервисов

Всё, чего нет в реестре, запрещено для рабочих данных. Реестр ведёт ИБ вместе с ИТ и юристом и пересматривает раз в квартал.

В мире 45% работников регулярно пользуются ИИ на рабочих устройствах, а 67% пользователей ИИ входят в эти сервисы на корпоративных устройствах под некорпоративными аккаунтами⁠[S13]. Поэтому реестр должен прямо говорить о личных аккаунтах: рабочие данные — только через корпоративный. Не забудьте ИИ внутри привычных сервисов: расшифровку встреч, помощников в почте и редакторах, расширения браузера.

Каждое поле записи опирается на норму. Поля про 243-ФЗ пока заполняйте «ожидается», но заведите их сразу.

Для сервиса, который получает ПДн, реестр не заменяет проверку поставщика. Её порядок и анкету — в главе 13.

02Правило 2Светофор: что нельзя вставлять в запрос

Красный уровень — не теория. На пилотах DLP 38% обращений к общедоступному ИИ содержали конфиденциальные данные. 41% из них — исходный код и конфигурации, ещё 11% — пароли, токены и ключи⁠[S20].

Отечественный сервис не делает передачу безопасной сам по себе. Важно, кто оператор, где хранятся запросы и используются ли они для обучения модели. Цвета светофора — не вкус ИБ: за каждым стоит норма.

Считать ли вставку ПДн в общедоступный чат-бот утечкой, закон прямо не говорит. По нашему прочтению, такой случай может быть признан инцидентом с ПДн — и тогда действуют сроки уведомления Роскомнадзора: 24 и 72 часа с момента выявления⁠[L16]. Пока юрист не дал позицию, рекомендуем заводить такие случаи в регламент реагирования как возможный инцидент и решать об уведомлении в пределах первых 24 часов. Маршрут и сроки — в главе 6.

Контроль запросов: DLP и тайна переписки

DLP, который видит запросы к нейросетям, обрабатывает ПДн работников и может затронуть их переписку, а значит, тайну переписки (ст. 23 Конституции)⁠[L153]. Риск здесь прежде всего у тех, кто читает журналы: за нарушение тайны переписки отвечают лично по ст. 138 УК⁠[L154].

Прямой нормы о мониторинге корпоративных каналов нет. Общая конструкция для шлюза, DLP и кнопки «Сообщить» и вопрос юристу о ней — в главе 4. Для запросов к ИИ она выглядит так:

• ЛНА называет корпоративную почту, мессенджер и ИИ-сервисы рабочими инструментами, запрещает личное использование и прямо уведомляет о DLP-контроле запросов: что проверяется и кто видит срабатывания. Ознакомление — под роспись⁠[L61]⁠[L64].
• Личные аккаунты и личную переписку работников не читать и не контролировать.
• Журнал хранит признаки срабатывания — время, сервис, категорию данных, — а не полный текст запроса, если он не нужен для разбора. Срок хранения записан в ЛНА⁠[L1].
• Срабатывания видят только роли из ЛНА; руководители получают агрегаты по подразделениям.
• Цель и основание обработки журналов DLP отражены в политике обработки ПДн⁠[L14].

03Правило 3Сначала альтернатива, потом запрет

Запрет без удобной замены рождает теневой ИИ: люди уходят в личные аккаунты и телефоны. Около 60% российских организаций работают без политики использования ИИ⁠[S10]. Среди организаций, переживших утечку, 63% не имеют политики управления ИИ или ещё её разрабатывают — это мировые данные IBM⁠[S23]. Политика и одобренный инструмент должны появиться в один день.

• Корпоративный доступ к одобренной модели с журналом запросов — в своём контуре или по договору, который запрещает обучать модель на ваших данных и не выводит их за рубеж.
• Список задач, для которых ИИ разрешён: перевод, пересказ опубликованных текстов, черновики писем без ПДн.
• Понятный путь добавить инструмент в реестр: форма заявки и срок ответа, например 10 рабочих дней.

04Правило 4Второй канал для денег и доступов

Отдельно научите замечать признаки давления: срочность, просьба держать всё в секрете, новый аккаунт или номер, просьба обойти обычный порядок. Любой из них — повод для проверки, даже если речь не о деньгах. Руководитель объявляет правило сам: «Я никогда не попрошу этого в мессенджере. Если попросил — перезвоните мне».

Для финансового директора — порядок сумм. Средняя операция без согласия клиента со счетов юрлиц в 2025 году составила 373,2 тыс. ₽⁠[L141]. Это все схемы хищений, а не только «фейк-босс».

Протокол — рекомендация АВАТЕК, а не норма. Запишите его в регламент платежей и в инструкцию ИТ-поддержки. В модели AVADB этому правилу ближе всего показатели AVA_DB080 «Проверка легитимности неизвестного звонящего», AVA_DB082 «Проверка подозрительного сообщения через известные контакты» и AVA_DB114 «Проверка легитимности отправителя сообщения».

05Правило 5Учения «фейк-босс»

1. Руководитель заранее объявляет правило второго канала — коротким видео или письмом.
2. Учебная атака по служебному каналу: письмо с внешнего адреса, похожего на ваш собственный домен, или сообщение в корпоративном мессенджере. Просьба — срочно оплатить счёт, сменить реквизиты или прислать список работников.
3. Правильное действие: не выполнять, проверить по второму каналу, сообщить в ИБ.
4. Итог — в тот же день: благодарность проверившим и короткий разбор для остальных, без публичных списков.

Наша рекомендация: голос или изображение реального руководителя в учении — только с его отдельного письменного согласия, где названы цель, аудитория, каналы, срок, запрет использования вне программы и порядок отзыва. Это осторожная позиция, а не прямое требование закона. С 01.09.2025 согласие на обработку ПДн оформляют отдельно от иных документов⁠[L4], а изображение гражданина используют только с его согласия (ст. 152.1 ГК)⁠[L71]. Рекомендации Альянса в сфере ИИ по цифровым имитациям — этический, не обязательный документ: имитация живущего человека — при явно выраженном согласии, где понятны цели, круг лиц и условия, и с маркировкой во время показа⁠[L117]. Во время учения маркировка его раскроет, поэтому раскрывайте имитацию сразу после действия работника, на странице разбора; это наше решение, а не текст рекомендаций. Шаблон согласия — в приложении F, правила легенд — в главе 4.

Для ГИС такое учение, по нашему прочтению, можно оформить как тренировку по практической отработке мер из внутренних регламентов (п. 56 «г» приказа ФСТЭК № 117), если правило второго канала записано в регламент. Имитационные рассылки п. 56 «в» называет применительно к служебным адресам электронной почты и иным служебным средствам коммуникаций — держите учение в этих каналах⁠[L80].

Дипфейки, изображение и голос: что есть в законе

Против подделки голоса и видео руководителя у компании сейчас нет специального правового инструмента. Защищает процедура: второй канал и протокол обратного звонка из правила 4. Право нужно знать для другого — чтобы не нарушить его самим, когда вы готовите учения.

ИИ-фишинг: учите вопросам, а не орфографии

Грамотный текст больше не доказывает, что письмо настоящее. Вместо охоты на опечатки научите трём вопросам:

1. Откуда пришло: совпадают ли домен, аккаунт или номер с известными?
2. Чего хотят: деньги, пароль, вложение, срочность, секретность?
3. Как проверить вне этого канала?

Самый полезный сигнал здесь — сообщение. Чем раньше первый работник нажмёт «Сообщить», тем раньше SOC увидит всю волну; подробнее — в главе 12.

ИИ по режимам: бизнес, ГИС, финансовый рынок

Метрики: что показать генеральному и финансовому директору

Руководству хватит трёх строк: охват политикой, инциденты теневого ИИ за квартал и доля проверивших по второму каналу в последнем учении. Плюс одно решение, которое от них нужно, — чаще всего бюджет на одобренную альтернативу.

Культура сообщений: сообщение ценнее клика

Сообщение об угрозе — поведение, которое одновременно снижает риск и даёт SOC данные. Работник, который сообщает, перестаёт быть только уязвимостью и становится датчиком. Задача главы — сделать сообщение главным измеримым поведением: опереть его на нормы, настроить кнопку так, чтобы она не нарушала тайну переписки, и честно ответить работникам на вопрос «что мне за это будет».

Почему сообщение важнее клика

Клики можно сократить, но не обнулить: в рандомизированном исследовании в одной организации за 8 месяцев 56% работников хотя бы раз перешли по фишинговой ссылке⁠[S19]. Сообщение работает иначе. Один человек, который быстро нажал «Сообщить», даёт SOC время остановить всю волну, пока остальные ещё не открыли письмо.

Это мировые данные Verizon, а не российские и не ваши. Вывод из них не зависит от страны: счёт идёт на секунды, поэтому для SOC важнее время до первого сообщения в каждой кампании, а для программы в целом — доля сообщений. Обучение двигает её заметнее, чем клики⁠[S18].

На чём держится правило «сообщи»

Прямой нормы «работник обязан нажать кнопку» нет. Но опора у правила есть в каждом режиме: трудовое право для всех, ГОСТ Р 57580.1 и положение Банка России для финансового сектора, уголовный закон для КИИ. Руководителю ИБ она нужна, чтобы сообщение было не просьбой ИБ, а частью обязанностей, записанной в документах.

Статья 21 ТК говорит об угрозе имуществу в общем виде. Чтобы ссылаться на неё в конкретном случае, запишите в локальном нормативном акте (ЛНА) — политике ИБ или положении об имитационных атаках (приложение A), — что считается подозрительным событием, куда о нём сообщать и за какое время, и ознакомьте работников под роспись⁠[L61]. Там же — что сообщать нужно и о своей ошибке: перешёл по ссылке, ввёл пароль, открыл вложение.

Шесть правил

1. Одна кнопка для учебных и реальных писем. Работник не должен угадывать, учебное ли письмо. Параллельные пути вроде «перешли админу» отключаем: каждое лишнее звено съедает минуты, которые потом не найдутся ни у SOC, ни у регулятора.
2. Благодарность — сразу. Учебное письмо: «вы нашли учебную атаку». Реальное: «спасибо, передано в SOC», а позже — итог разбора. Без ответа люди перестают сообщать.
3. Маршрут — в SOC и SIEM. Учебные письма отсеиваются автоматически, реальные попадают в очередь аналитиков с приоритетом. Каждое сообщение оставляет запись со временем: это и метрика, и доказательство.
4. Не только почта. Один понятный адрес для подозрительного звонка, сообщения в мессенджере или QR-кода: служебный чат ИБ или телефон дежурного. Этот адрес — в памятке и в ЛНА.
5. Реальная атака становится учебной. Подтверждённую атаку обезвреживаем и через одну-две недели отправляем как учебную тем, кто мог получить похожую. Легенда проходит тот же светофор, что и любая другая (глава 4): настоящая атака копирует логотипы и страницы входа реальных сервисов, учебная версия — уже нет.
6. Ложная тревога не наказывается. Лишнее сообщение дешевле пропущенного. Если ложных много, это повод объяснить признаки, а не просить сообщать реже.

Маршрут сообщения внутри компании

Внутренние сроки на схеме — наша рекомендация, а не норма. Впишите свои в регламент реагирования и раз в месяц проверяйте, укладывается ли в них SOC: работник, который не получает ответа, быстро перестаёт сообщать.

Если на сортировке выясняется, что есть признаки утечки ПДн, инцидент на объекте КИИ или в ГИС либо инцидент защиты информации в банке, включаются часы регулятора, и отсчёт идёт с момента выявления: 24 и 72 часа для Роскомнадзора⁠[L16], 3 часа для Банка России⁠[L97], для НКЦКИ — 3 часа по значимому объекту КИИ и 24 часа по прочим⁠[L85], 24 часа по ГИС⁠[L87]. Маршрут от клика до второго уведомления, журнал и учение — в главе 6.

Кнопка «Сообщить»: что уходит и кто видит

Нажимая кнопку, работник пересылает письмо целиком — часто с ПДн клиентов, коллег, контрагентов. Каждый имеет право на тайну переписки, и ограничить его можно только по решению суда (ст. 23 Конституции)⁠[L153]. Прямой нормы о разборе корпоративной почты нет; консервативная конструкция из пяти шагов — в главе 4. Здесь — как настроить саму кнопку.

Главный принцип — минимизация: каждый получатель видит только то, что нужно для его задачи⁠[L1]. Таблица ниже — наша рекомендация по умолчанию; отклонения от неё запишите в регламент с объяснением зачем.

Что сказать работникам в ЛНА

Работник должен знать правила до того, как нажмёт кнопку. Запишите их в положение об имитационных атаках или политику ИБ и ознакомьте под роспись⁠[L61]⁠[L64]:

• служебная почта и мессенджер — рабочие инструменты, личная переписка через них запрещена;
• входящие письма проверяются на шлюзе;
• пересланное кнопкой «Сообщить» увидят работники SOC — назовите подразделение или роли;
• что получает вендор платформы учебных атак — и чего не получает;
• сколько хранятся пересланные письма — по регламенту реагирования.

В письмах, которые пересылают работники, почти всегда есть ПДн третьих лиц. Рекомендуем указать в политике обработки ПДн цель «реагирование на инциденты ИБ» и основание для неё⁠[L14]. Готовые формулировки — в разделе о кнопке в приложении A.

Спросите вендора — и нас тоже

Что именно уходит наружу, решает не регламент, а настройка плагина. Задайте вендору вопросы до внедрения и приложите ответы к договору; требования к поручению — в главе 13 и приложении B.

• Что именно кнопка или плагин передаёт на сервер вендора: факт и время сообщения, заголовки, текст, вложения?
• Можно ли настроить так, чтобы реальные письма уходили только в ваш SOC, а вендор получал лишь отметку о сообщении?
• Где хранится то, что получает вендор, сколько и кто у вендора имеет к этому доступ?
• Записаны ли эти данные, действия с ними и цели в поручении обработки по ч. 3 ст. 6 152-ФЗ⁠[L2]?
• Используются ли пересланные письма для обучения моделей или общей статистики по клиентам? Если да, вендор, по нашей оценке, выходит за рамки вашего поручения — уточните у юриста.
• Как данные удаляются по окончании договора и чем это подтверждается?

Благодарность без публичных рейтингов

Хвалить хочется публично: «лучший отдел месяца», «топ сообщивших», а заодно и «кто попался». Но результат учебной атаки с именем — это ПДн работника. Внутри организации их можно передавать только в порядке, установленном ЛНА, с которым работник ознакомлен, и только уполномоченным лицам (ст. 88 ТК)⁠[L64]. Публичный рейтинг кликнувших — такая передача: либо её прямо предусматривает ЛНА, либо её нет. Мы рекомендуем от неё отказаться.

Благодарность работает, когда она быстрая и конкретная: «ваше сообщение пришло через 4 минуты, мы удалили письмо у 230 коллег». Цифры в примере условные; в своей программе берите их из журнала сообщений.

Когда причиной стал работник

Культура «сообщи о своей ошибке» упирается в неудобную норму. Если реальная атака привела к утечке ПДн, во втором уведомлении Роскомнадзору (72 часа) оператор сообщает о лицах, чьи действия стали причиной инцидента, если они установлены⁠[L16], — а если это работник, указывает его ФИО и должность⁠[L23]. Работник, который честно признался, что ввёл пароль, может оказаться в документе для регулятора.

Скрывать это нельзя: такое обещание рухнет при первой утечке вместе с доверием к программе. Работает честное разделение, сказанное заранее.

• Уведомление — не наказание. Сведения о причине уходят регулятору по закону. Дисциплина — отдельный вопрос: взыскание возможно только за нарушение правил, с которыми работник ознакомлен, и только в порядке ст. 193 ТК⁠[L65].
• Быстрое сообщение — в пользу работника. Раннее сообщение сокращает ущерб и время до уведомления; отметьте это в материалах расследования.
• Имя не уходит дальше расследования. Круг лиц, которые его видят, задаёт ЛНА⁠[L64]. Никаких рассылок «кто виноват».

Как указывать работника в самом уведомлении и когда идут 72 часа — в главе 6.

Памятка работнику: что происходит после нажатия «Сообщить»

Памятка собирает главу в одну страницу для работников. Поля в квадратных скобках заполните по своему регламенту; обещания в разделе 4 должны совпадать с положением (приложение A), иначе их лучше убрать.

Метрики главы

Доля подтверждённых не должна быть ни слишком высокой, ни слишком низкой. Высокая значит, что работники сообщают только об очевидном. Низкая — что SOC тонет в шуме и нужны подсказки о признаках. Руководителям — только агрегаты по группам от пяти человек. Определения общих метрик и то, как они служат доказательством, — в главе 8.

Подрядчики и платформа учебных атак

У главы две темы. Первая — подрядчики как человеческий риск: работник подрядчика с доступом к вашим системам — часть вашего периметра, но в отчётах о программе его обычно нет. Вторая — сама платформа учебных атак: она обрабатывает ПДн ваших работников, и за неё перед ними отвечаете вы. Задача главы — включить подрядчиков в программу так же конкретно, как своих работников, и оформить платформу так, чтобы контроль над ней можно было доказать.

Для атакующего подрядчик — короткий путь: у него есть доступ, но нет вашей программы. Письмо «от поставщика» с новыми реквизитами бьёт по вашим работникам, а фишинг против администратора подрядчика — по вашим системам. Защищать нужно оба направления.

Что нормы требуют от подрядчиков

Общей нормы «обучайте подрядчиков» нет. Есть отраслевые требования, и они сходятся в одном: заказчик отвечает за то, что делают люди подрядчика с его данными и системами.

Узи прямо оценивает обучение: высший балл по виду требования «Обучение» даёт только утверждённая программа по категориям работников с контролем знаний и умений⁠[L83]. Поэтому программа обучения подрядчика ГИС или значимого объекта КИИ влияет на результат, который вы получите от него до допуска. Для остальных компаний то же требование — условие договора и отчёт подрядчика.

Три уровня подрядчиков

Начните с реестра: у кого из подрядчиков есть доступ, к каким системам и данным, сколько у него людей и кто у вас владелец договора. Потом разделите реестр на уровни — требования зависят от доступа, а не от суммы договора.

Пять правил работы с подрядчиками

1. Требования — в договоре. Курс и проверка знаний до доступа; сообщения о подозрительных письмах — по вашему каналу; уведомление об инцидентах в срок, заметно короче ваших 24 часов перед Роскомнадзором⁠[L16].
2. Доступ — после выполнения. Учётная запись создаётся после курса и проверки знаний и закрывается в день окончания работ.
3. Учебные атаки — только по договору. Работников подрядчика не атакуют без его согласия и без условий, описанных ниже.
4. Второй канал для реквизитов. Письмо поставщика о смене реквизитов проверяется звонком по номеру из договора (глава 11).
5. Легенда «письмо от поставщика». Ваших работников атакуют от имени подрядчиков: включите такую легенду в учебные атаки для закупок и бухгалтерии (глава 9).

Учебные атаки на работников подрядчика

Если у людей подрядчика есть ваша служебная почта, их можно включить в кампании. Правовая рамка та же, что для своих работников (глава 4), плюс три условия.

• Договор. Участие в программе, события, которые вы фиксируете, и кто видит результаты, записаны в договоре с подрядчиком.
• Уведомление и основание. Данные работников подрядчика вы получили не от них: нужно уведомление по ч. 3 ст. 18 152-ФЗ, если не подходит ни одно исключение из ч. 4 той же статьи⁠[L12], и письменное подтверждение подрядчика, что у него есть основание передать эти данные (ч. 8 ст. 9)⁠[L3]. Шаблон подтверждения — F.4 в приложении F.
• Устройства. Учебные вложения с кодом и USB — только на ваших устройствах или с письменного согласия собственника устройства — подрядчика или его работника, если устройство личное. Нагрузка не уничтожает, не блокирует, не изменяет и не копирует данные и не нейтрализует средства защиты⁠[L55]. На устройствах подрядчика без такого согласия — только письма и ссылки без запуска кода.

Платформа учебных атак — обработчик ПДн

Платформа получает ФИО, адреса и подразделения ваших работников и записывает, кто открыл письмо, перешёл по ссылке или сообщил о нём. Для 152-ФЗ «О персональных данных» вендор — лицо, которое обрабатывает ПДн по поручению оператора (обработчик). У поручения есть обязательное содержание — восемь пунктов⁠[L2].

Ещё три правила той же статьи распределяют ответственность:

• обработчик не обязан получать согласия работников — если согласие нужно, его получаете вы (ч. 4 ст. 6)⁠[L2];
• перед работником за действия обработчика отвечает оператор (ч. 5)⁠[L2];
• если обработчик — иностранное лицо, отвечают оба (ч. 6)⁠[L2].

Роскомнадзор в рекомендациях 2023 года сформулировал это коротко: поручение обработки третьим лицам «не снимает с оператора ответственности, но снижает контроль»⁠[L140]. Это рекомендация, а не норма, но она объясняет, зачем оператору документы о контроле над вендором.

Согласие работников на передачу данных вендору

Поручение возможно «с согласия субъекта, если иное не предусмотрено федеральным законом» (ч. 3 ст. 6)⁠[L2]. Нормы, которая прямо освобождала бы от согласия поручение платформе учебных атак, нет; нужно ли согласие, если данные обрабатываются на основании закона и трудового договора, — вопрос без единого ответа. Давняя позиция Роскомнадзора: когда работодатель передаёт кадровый учёт сторонней организации, он получает согласие работников⁠[L29].

• С 01.09.2025 согласие оформляется отдельно от иных документов: встроить его в трудовой договор или лист ознакомления с ЛНА нельзя⁠[L3]⁠[L4].
• Письменное согласие содержит реквизиты ч. 4 ст. 9, в том числе наименование и адрес обработчика, если обработку поручают ему⁠[L3].
• Отзыв согласия не останавливает обработку, если есть другие основания из пп. 2–11 ч. 1 ст. 6 (ч. 2 ст. 9); основание доказывает оператор (ч. 3 ст. 9)⁠[L3].

Вопросы юристу — нужно ли согласие при основаниях закона и трудового договора, считается ли платформа «третьей стороной» по ст. 88 ТК и что делать с работником, который согласие не дал или отозвал, — собраны в главе 4.

Где лежат данные: Россия и трансграничная передача

С 01.07.2025 при сборе ПДн граждан России запрещено записывать, систематизировать, накапливать, хранить, уточнять и извлекать их с использованием баз данных за пределами России (ч. 5 ст. 18 152-ФЗ). Исключения — случаи из пп. 2, 3, 4 и 8 ч. 1 ст. 6; распространяются ли они на программу обучения, решает юрист, а без его вывода безопаснее держать базу в России⁠[L12]⁠[L13]. Штраф юрлицу — 1–6 млн ₽, повторно — 6–18 млн ₽ (ч. 8 и 9 ст. 13.11 КоАП)⁠[L34]. Для платформы это значит: база, в которую вендор впервые записывает данные ваших работников, находится в России. Отдельно спросите о резервных копиях и журналах.

Если данные уходят за границу, это трансграничная передача по ст. 12⁠[L7]:

1. отдельное уведомление Роскомнадзора — до начала передачи;
2. сведения о мерах, которые принимает получатель;
3. в страны из перечня Роскомнадзора — сразу после уведомления, в остальные — не раньше чем через 10 рабочих дней.

С 26.07.2026 «адекватной» страну делает только перечень Роскомнадзора; участие в Конвенции 108 само по себе больше не упрощает передачу⁠[L8]. Действует перечень из приказа Роскомнадзора № 128, новый на 25.09.2026 не опубликован; США в перечне нет⁠[L9].

Где у платформы может прятаться передача за границу: ИИ-сервис для генерации писем или разбора сообщений, сервис мониторинга ошибок или аналитики, почтовый сервис для рассылки, поддержка из другой страны. Спросите о каждом — вопросы 1.2 и 1.3 анкеты ниже.

• Сменили вендора или его ЦОД, появилась передача за границу — проверьте уведомление Роскомнадзора об обработке: в нём указаны место нахождения БД и наличие трансграничной передачи. Если эти сведения изменились, изменения подают не позднее 15-го числа месяца, следующего за месяцем изменения⁠[L17].
• Поручение иностранному лицу и зарубежные БД — высокая степень вреда в оценке по приказу Роскомнадзора № 178⁠[L20]. Пересмотрите акт оценки вреда.

Закупка: ограничения на иностранное

Для части заказчиков выбор вендора ограничен ещё до сравнения функций. Проверьте, попадаете ли вы в одну из трёх групп; если да — запросите у вендора документ из последней колонки до начала закупки.

Прямо платформы учебных атак указ не называет. По нашему прочтению, его формулировки их покрывают; официальных разъяснений нет. Пока их нет, безопаснее исходить из этого прочтения.

Что проверить у вендора — включая нас

Три вопроса определяют, как платформа встроится в ваш правовой режим (отраслевые требования — в приложении E). Задавайте их любому вендору, в том числе нам: от ответов зависят формулировки в отчёте совету и в договоре.

Что работники должны знать о кнопке «Сообщить» и кто видит пересланное — в главе 12; вопрос юристу о тайне переписки — в главе 4.

Анкета вендора платформы

Отправьте анкету до подписания договора и храните ответы вместе с ним: это часть доказательств контроля над обработчиком. Ответы на вопросы 5.1 и 5.3 решают, засчитываются ли расходы в условие ч. 3.4-2 ст. 4.1 КоАП и допустим ли вендор для организаций из Указа № 250; 5.2 — для закупок по 44-ФЗ и 223-ФЗ; 5.4 — для ГИС и КИИ. Что записать в сам договор — в приложении B.

Метрики главы

В отчёте совету подрядчики идут отдельной строкой: иначе их риск растворяется в среднем по компании (глава 16).

Культура и роли: кто за что отвечает

Программа меняет привычки сотен и тысяч людей. Это управление изменениями, а не рассылка курсов. Без спонсора и понятных ролей она превращается в ИБ-отдел, который «ловит» коллег, — и люди начинают прятать ошибки. Задача главы — распределить роли так, чтобы у каждой была опора в документах, а сообщать о своей ошибке было безопасно и привычно.

Кто за что отвечает

У части ролей есть нормативная опора, у части — нет. Первые нельзя пропустить: их обязанности записаны в законе и спрашиваются при проверке. Вторые держат программу в жизни. Прочерк в столбце «Норма» значит, что роль — наша рекомендация.

Представители ИБ особенно нужны в филиалах и на удалённых площадках, где ИБ-команду редко видят вживую. Роли без нормы тоже запишите в положение: иначе через год никто не вспомнит, кто обещал писать анонс.

Роли, которые задаёт закон

Ответственный за ПДн

Лицо, ответственное за организацию обработки ПДн, доводит до работников положения законодательства о ПДн, ЛНА по обработке ПДн и требования к их защите (п. 2 ч. 4 ст. 22.1 152-ФЗ)⁠[L18]. Программа учебных атак — обработка ПДн работников, поэтому ответственному за ПДн логично согласовывать положение и владеть ответами на запросы работников о том, какие данные о них собирает платформа. Срок ответа — 10 рабочих дней, продлить можно не более чем на 5⁠[L10]. Отдельной санкции для ответственного за ПДн закон не устанавливает; его риск — дисциплинарный и как должностного лица (глава 5).

Руководство и заместитель по ИБ в организациях из Указа № 250

Указ № 250 возлагает на руководителя организации персональную ответственность за обеспечение ИБ (п. 2)⁠[L88]. Типовые положения о заместителе руководителя по ИБ и о подразделении ИБ (ПП № 1272) называют формирование и развитие навыков работников (п. 10 «ж»), организацию развития навыков безопасного поведения, в том числе занятия с руководящим составом (п. 7 «к»), и доклад руководству о результатах практических учений (п. 11 «б»)⁠[L89]. Для таких организаций программа — не инициатива ИБ, а функция заместителя по ИБ и подразделения, о результатах которой докладывают руководителю. Доклад — в главе 16.

В КИИ та же функция есть в профессиональном стандарте специалиста по обеспечению безопасности значимых объектов, который действует с 01.03.2027: «организация формирования и развития навыков работников организации» (ТФ F/03.8)⁠[L91]. Это аргумент, когда нужно закрепить программу в должностной инструкции.

HR и профсоюз

Работодатель знакомит работников с ЛНА под роспись, а при приёме — до подписания трудового договора⁠[L61]. ЛНА, принятые без учёта мнения профсоюза там, где ТК этого требует, не применяются⁠[L61]. Поэтому HR — не только канал ознакомления, но и тот, кто знает, какие ЛНА проходят через профсоюз. Дисциплина и премии — тоже зона HR; правила для них — в разделе о психологической безопасности ниже.

Матрица ответственности: шесть решений

Роли в таблице выше отвечают на вопрос «кто есть». Матрица ниже отвечает на вопрос «кто решает» — для шести действий, на которых программы чаще всего застревают. Запишите её в положение (приложение A) и поправьте под свою структуру: в небольшой компании ИБ и ответственный за ПДн могут быть одним человеком — тем важнее согласование с юристом.

Обратите внимание на строку о взыскании. ИБ фиксирует факты — что было, когда, с какими правилами работник ознакомлен, — но решение о взыскании принимает работодатель в порядке ТК, а не платформа и не руководитель ИБ. Решения, затрагивающие права работника, нельзя принимать только на основании автоматизированной обработки (ст. 16 152-ФЗ, п. 6 ст. 86 ТК)⁠[L11]⁠[L64], поэтому риск-скор и результаты кампаний — вход для решения человека, а не само решение.

Психологическая безопасность: пять правил

Если за ошибку наказывают, люди прячут ошибки, — и SOC узнаёт об атаке последним. Пять правил ниже держат программу на стороне работника. Там, где у правила есть норма, она указана; остальное — наша рекомендация.

1. Без позора. Никаких публичных списков «кликнувших» и рейтингов худших. Результаты с именами — ПДн работника, и внутри организации их получают только уполномоченные лица по ЛНА⁠[L64].
2. Личное — лично. Личные результаты видят работник и роли из положения. Руководитель получает агрегаты по группам не меньше пяти человек, чтобы нельзя было вычислить конкретного.
3. «Я ошибся» — ценное сообщение. Кто сам сообщил, что ввёл пароль, получает благодарность, а не выговор. Чем раньше сообщил, тем меньше ущерб. Как это совместить с уведомлением регулятора — в главе 12.
4. Руководство — тоже цель. Руководители получают те же учебные атаки, а спонсор готов рассказать о своей ошибке. В организациях из Указа № 250 занятия с руководящим составом прямо названы в функциях подразделения ИБ⁠[L89].
5. Честно о программе. Работники знают, что учебные атаки будут (без дат), зачем они, какие события фиксируются и кто видит результаты. Где проходят границы легенд — в главе 4.

Хвалите поступки, а не проценты. «Находка месяца» — работник, чьё сообщение остановило реальную атаку; имя — только с его согласия. Командный зачёт — по доле сообщений, а не по кликам, чтобы никого не стыдить.

Дисциплина и премии: где проходит граница

Правило «без наказания за клик» — не только про культуру: трудовое право оставляет работодателю узкий коридор. Виды взысканий и порядок по ст. 192–193 ТК, лимит снижения премии и вопрос юристу о том, может ли учебный клик быть проступком, разобраны в главе 5. HR достаточно держать в голове три правила.

• Проступок — нарушение закреплённой обязанности. Взыскание возможно, только если работник по своей вине нарушил обязанность из трудового договора или ЛНА, с которым ознакомлен под роспись⁠[L61]⁠[L65]. Клик в учебном письме сам по себе, по нашему прочтению, таким нарушением не является.
• Премия и взыскание. Если ЛНА о премировании связывает снижение премии с дисциплинарным взысканием, снижать можно только за период взыскания и не более чем на 20% месячной зарплаты (ч. 3 ст. 135 ТК)⁠[L67].
• Премия и результаты учебных атак. Прямого запрета привязывать премию к кликам нет. Но такая связка, по нашей оценке, рискованна: она выходит за заявленные цели обработки данных программы⁠[L1] и легко превращается в решение, затрагивающее права работника, только по автоматическому скору, а это ст. 16 152-ФЗ допускает лишь в исключительных случаях — с письменного согласия или по федеральному закону⁠[L11].

Коммуникации: квартал и год

Анонс программы не раскрывает даты и шаблоны: прямой обязанности предупреждать о каждой кампании ТК не устанавливает — он требует ознакомить работников с ЛНА под роспись⁠[L61]. По нашей оценке, достаточно общего уведомления в положении (приложение A). Календарь кампаний и регуляторных событий на год — в главе 15, частота и сложность учебных атак — в главе 9.

В модели зрелости SANS долгосрочное изменение культуры — отдельная стадия, которая идёт после изменения поведения⁠[F1]. Наша модель — в главе 2: культура появляется, когда правила выше выполняются годами, а не когда о ней написали в положении.

Как измерить культуру

Все метрики культуры — агрегаты. Руководителю подразделения — только по группам от пяти человек; общие правила метрик — в главе 8.

План года и регуляторный календарь

Эта глава превращает книгу в расписание. Сначала — 13 недель запуска: каждая неделя оставляет артефакт, а план заканчивается решением спонсора. Потом — годовой цикл, в котором регуляторные события стоят рядом с учебными кампаниями, и календарь на 12 месяцев с датами, которые уже приняты.

Артефакты недель — документы, отчёты и протоколы — вместе составляют пакет доказательств для руководства и проверяющих (приложение D).

1. Недели 1–3 · фаза 1 из 4

   Мандат и правила

   1. Нед. 1

      Спонсор и рабочая группа: ИБ, ИТ, HR, юрист, ответственный за ПДн, коммуникации. Цели на 90 дней. Режим организации — ПДн, ГИС, КИИ или финансы — по главе 3

      Артефакт Распоряжение о запуске, состав группы, матрица ответственности

   2. Нед. 2

      Положение об имитационных атаках по шаблону приложения A: каналы, фиксируемые события, кто видит личные результаты, срок хранения, отказ от санкций. Новая цель в политике обработки ПДн, акт оценки вреда, договор поручения с платформой (приложение B), отдельные согласия (приложение F). Согласование с юристом; учёт мнения профсоюза, где он есть

      Артефакт Положение, изменения политики ПДн, акт оценки вреда, договор поручения, заключение юриста

   3. Нед. 3

      Ознакомление работников с положением под роспись или через кадровый ЭДО. Уведомление Роскомнадзора об изменениях, если программа — новая цель обработки. Интеграции: каталог пользователей, почтовые домены, белые списки, кнопка «Сообщить», выгрузка в SIEM. Анонс от спонсора без дат атак

      Артефакт Листы ознакомления, уведомление об изменениях, чек-лист интеграций, анонс

   Критерий выхода: положение утверждено и доведено под роспись, юрист дал заключение, кнопка «Сообщить» работает, анонс вышел.

   Основания. Для всех операторов ПДн — ознакомление и (или) обучение работников, непосредственно обрабатывающих ПДн (п. 6 ч. 1 ст. 18.1 152-ФЗ)⁠[L14], и ознакомление с ЛНА под роспись (ст. 22 ТК)⁠[L61]. Уведомление об изменениях — не позднее 15-го числа следующего месяца (ч. 7 ст. 22 152-ФЗ)⁠[L17]. Для ГИС и ИС госорганов, ГУП, госучреждений — порядок повышения знаний в регламентах и оценка знаний (п. 14 «д» и п. 57 приказа ФСТЭК № 117)⁠[L80]. Для значимых объектов КИИ — мероприятия по повышению знаний работников не реже раза в год (п. 15 приказа ФСТЭК № 235)⁠[L77], информирование и обучение с периодичностью, которую задают ОРД (п. 13.7 приказа ФСТЭК № 239)⁠[L79]. Это не юридическая консультация.

2. Недели 4–5 · фаза 2 из 4

   Базовая линия

   1. Нед. 4

      Первая учебная атака по почте средней сложности на всех, кто ознакомлен с положением. Второй канал — SMS или звонок — только на пилотной группе и на условиях главы 9. Оценка знаний

      Артефакт Карточка кампании, шаблоны, результаты теста

   2. Нед. 5

      Отчёт № 0: доли провалов, сообщений и пропусков; «кликнул и сообщил»; время до первого сообщения; разбивка по ролям и филиалам группами не меньше пяти человек; экспозиция по КоАП — глава 5

      Артефакт Отчёт № 0 — точка отсчёта для целей

   Критерий выхода: у каждой метрики есть определение и значение базовой линии.

3. Недели 6–9 · фаза 3 из 4

   Вмешательства

   1. Нед. 6

      Обучение в момент ошибки, курсы по событию, трек повторных провалов без автоматических санкций — глава 10

      Артефакт Карта «событие → курс», правила трека

   2. Нед. 7

      Ролевые сценарии: финансы — «фейк-босс» и смена реквизитов; HR — резюме во вложении; закупки — письмо «от поставщика»; ИТ-поддержка — сброс пароля по звонку; филиалы

      Артефакт Матрица «роль → сценарий → правильное действие»

   3. Нед. 8

      ИИ: реестр сервисов, светофор данных, одобренная альтернатива, короткий курс — глава 11. Для ГИС — шаблоны или допустимые тематики запросов (п. 61 приказа № 117)⁠[L80]. Правило второго канала для платежей объявляет спонсор

      Артефакт Реестр ИИ-сервисов, политика ИИ, правило второго канала

   4. Нед. 9

      Учение «фейк-босс» в финансах, закупках и ИТ-поддержке — с отдельным письменным согласием руководителя, от имени которого идёт сценарий (приложение F). Настольное учение по маршруту «сообщение → решение об уведомлении» со сроками 24 и 72 часа⁠[L16] — глава 6

      Артефакт Протокол учения, согласие руководителя, маршрут сообщений

   Критерий выхода: каждая роль из списка получила свой сценарий, правило второго канала объявлено, маршрут в SOC проверен на учении.

4. Недели 10–13 · фаза 4 из 4

   Замер и решение

   1. Нед. 10

      Повторная учебная атака на всех — той же сложности, что на неделе 4

      Артефакт Результаты кампании

   2. Нед. 11

      Подрядчики: реестр, три уровня доступа, условия поручения и обучения в договорах — глава 13

      Артефакт Реестр подрядчиков, пункты договора по приложению B

   3. Нед. 12

      Отчёт № 1: динамика против отчёта № 0, роли, повторные провалы, второй канал, ИИ, карта «норма → доказательство» по приложению D

      Артефакт Отчёт № 1 и страница для совета — глава 16

   4. Нед. 13

      Решение спонсора: масштабировать, изменить или остановить. Годовой календарь и бюджет — с отдельным учётом расходов на ИБ через лицензиатов (глава 16)

      Артефакт Протокол решения, годовой календарь

   Критерий выхода: решение принято по отчёту № 1, а не по впечатлениям.

Что повторяется каждый год

Регуляторный календарь складывается из двух слоёв. Первый — события, которые нормы привязывают к сроку: раз в год, раз в 2 или 3 года, до допуска, после инцидента. Второй — ритм самой программы, который выбирает организация. Выберите вкладку своего режима; если режимов несколько, строки складываются.

Частоту учебных атак не задаёт ни один приказ. Для значимых КИИ её определяют ОРД субъекта⁠[L79], для ГИС — регламенты оператора, с оценкой знаний не реже раза в 3 года⁠[L80]. Поэтому ритм программы — решение организации.

Такой цикл повторяет жизненный цикл программы обучения из NIST SP 800-50 Rev. 1: планирование, анализ и проектирование, разработка и внедрение, оценка и улучшение⁠[F2].

Ближайшие даты

Эти изменения уже приняты и имеют дату. Каждое из них — повод пересмотреть документ программы или добавить тему в обучение. Сроки уведомления об инцидентах собраны в приложении C, вся хронология 2024–2027 — в приложении H.

Без даты, но под наблюдением. Новый перечень стран с адекватной защитой ПДн после 265-ФЗ на 25.09.2026 не опубликован; действует приказ Роскомнадзора № 128⁠[L9]. От него зависит, когда можно начать передачу ПДн зарубежному ИИ-сервису после уведомления Роскомнадзора: в страну из перечня — сразу, в остальные — не раньше чем через 10 рабочих дней и если Роскомнадзор не запретил и не ограничил передачу⁠[L7]. Постановления Правительства по 243-ФЗ ожидаются: отраслевые требования по рискам больших моделей могут обязать и компании-пользователей⁠[L115] — подробнее в главе 11.

Календарь на 12 месяцев

Три дорожки в одной таблице: обучение, учебные атаки и регуляторные события. Пример — для организации, которая начинает в октябре 2026 года и совмещает несколько режимов. Строки, которые вас не касаются, уберите; ритм кампаний подстройте под свою базовую линию.

Условия каналов, легенд и согласий для каждой кампании — в главе 9 и главе 4. Формат квартального отчёта — в главе 16.

Совет директоров: одна страница

Одна страница раз в квартал для генерального и финансового директора, совета директоров или наблюдательного совета. Задача — показать экспозицию без запугивания и получить решения. В шаблоне семь блоков: заполните их по итогам отчёта № 0 и дальше обновляйте раз в квартал. Многоточия — места для ваших значений.

Пять правил страницы

1. Начинайте с блока 7 — какие решения нужны. Потом рубли, потом метрики.
2. Вероятность и последствия — раздельно. Экспозиция по КоАП — это размер возможного штрафа, а не его вероятность.
3. Каждая цифра — рядом с базовой линией. Сравнивайте только кампании сопоставимой сложности.
4. Процент прохождения курсов — не результат; на этой странице его нет.
5. Не пишите, что учебные атаки повышают показатель Кзи. В методике ФСТЭК нет показателей осведомлённости, а если на учениях или пентесте доступ получен через учётную запись пользователя, группа «Защита пользователей» обнуляется⁠[L84].

Экспозиция для блока 1

Сначала определите профиль: от организационно-правовой формы зависит, кто платит по ч. 10–18 ст. 13.11 — организация или человек. Уведомить Роскомнадзор об утечке нужно дважды: за 24 и за 72 часа с момента выявления⁠[L16]; пропуск срока — отдельный штраф по ч. 11.

Сетку штрафов по ч. 8–18 ст. 13.11 для обоих профилей возьмите из главы 5. Коммерческая компания и ГУП платят как юрлицо — от 1–3 млн ₽ за неуведомление об утечке до оборотного штрафа за повторную утечку. В госоргане, учреждении и госкорпорации штраф юрлица по ч. 10–18 не назначается: платит должностное лицо — лично, до 2 млн ₽⁠[L34]⁠[L160]. Кто именно им будет, — вопрос юристу из той же главы.

Сумма из таблицы — ещё не экспозиция. Четыре правила КоАП влияют на то, какая строка сетки применится и как пойдёт дело. Подробный разбор — в главе 5.

Закон прямо не отвечает, какая часть ст. 13.11 применяется к утечке ниже порога ч. 12 — меньше 1 тыс. субъектов и 10 тыс. идентификаторов⁠[L34]. Покажите такую утечку в блоке 1 отдельной строкой, без суммы, пока юрист не ответит на вопрос из главы 5.

Что известно о практике. Официальных данных мало. В итогах Дня открытых дверей 14.08.2026 Роскомнадзор сообщил, что количество протоколов по утечкам не увеличилось⁠[L128]. В докладе о госконтроле за 2025 год — 14 внеплановых контрольных (надзорных) мероприятий и 5 штрафов на 462 тыс. ₽, но протоколы по утечкам туда, по-видимому, не входят⁠[L129]. Выводов о «мягкой практике» из этого не следует: планируйте по тексту закона.

Штраф — не вся цена. Средний ущерб от утечки — 11,5 млн ₽ по опросу представителей среднего и крупного бизнеса без крупнейших компаний (по заказу InfoWatch)⁠[S4]. Первоначальные требования выкупа шифровальщиков в 2025 году — в среднем 4–40 млн ₽; для малого и среднего бизнеса — 0,24–4 млн ₽⁠[S6]; это требования, а не выплаты. Рубли для своей компании посчитайте в калькуляторе «Цена одного клика».

Смягчение оборотного штрафа: решение совета

Если выполнены сразу три условия, штраф за повторную утечку по ч. 15 и 18 ст. 13.11 назначается в размере одной десятой минимума, но в пределах 15–50 млн ₽ вместо 1–3% выручки⁠[L36]. Это не усмотрение суда. Но условия выполняются заранее, а не после утечки: первое — три года, второе — каждые 12 месяцев. Поэтому это вопрос бюджета и календаря, то есть совета.

Для госорганов, госучреждений и госкорпораций этот механизм не работает: штрафа юрлица по ч. 10–18 у них нет⁠[L34]. Их рычаг — пакет доказательств ниже и распределение обязанностей между должностными лицами.

Что суд примет как подтверждение первого и второго условий, — вопрос юристу из главы 5; задайте его до того, как заказывать проверку.

Зачем совету пакет доказательств

Юрлицо виновно, если не приняло всех зависящих от него мер (ч. 2 ст. 2.1 КоАП)⁠[L43]. Верховный Суд в постановлении № 5-АД25-119-К2 от 21.01.2026 оставил в силе штраф оператору, у которого утечка случилась через подрядчика: оператор не доказал внутренний контроль и меры по ст. 18.1, 19 и 22.1 152-ФЗ⁠[L124].

Позиция убедительная, но не обязательная (статус решения — в главе 5). Вывод для совета практический: меры, которые нельзя показать документом, созданным до инцидента, в споре не помогут. Состав пакета — в приложении D, контроль подрядчиков — в главе 13.

Личная ответственность руководства

• В организациях из Указа № 250 руководитель несёт персональную ответственность за обеспечение ИБ (п. 2)⁠[L88].
• Заместитель руководителя по ИБ регулярно информирует руководство о результатах практических учений по противодействию компьютерным атакам (п. 11 «б» типового положения, ПП № 1272)⁠[L89]. Рекомендуем использовать квартальную страницу ниже как основу этого доклада.
• В госоргане, госучреждении и госкорпорации штраф по ч. 10–18 ст. 13.11 платит должностное лицо — до 2 млн ₽⁠[L34]⁠[L160]. Для руководства такой организации это личный риск конкретных людей, а не строка бюджета.

Шаблон страницы

«База» в блоке 2 — значения отчёта № 0 (глава 15). Определения метрик — в главе 8, пакет доказательств обучения — в главе 10. В блоке 6 оставьте только строки своего режима; уровень зрелости — по главе 2. Сроки уведомления по всем режимам — в приложении C.

Примеры решений для блока 7

Каждое решение — одной строкой: что, кто отвечает, срок.

• утвердить цели на следующий квартал от базовой линии;
• вести расходы на ИБ через лицензиатов отдельной строкой по годам и заказать ежегодную проверку соответствия — два из трёх условий смягчения;
• закрепить в должностных инструкциях, кто отвечает за ПДн и ИБ, — в госсекторе от этого зависит, кто платит;
• сделать правило второго канала для платежей и смены реквизитов обязательным для всех, включая руководство;
• поручить закупкам включить условия поручения и обучения в договоры с подрядчиками;
• выбрать меру для роли или филиала с наибольшим риском: процесс, техника или обучение.

Шаблон положения об имитационных атаках

Нормы — по состоянию на 26.09.2026

Положение — главный документ программы: оно делает учебные атаки частью трудовых отношений и режима ПДн. Работники знакомятся с ним под роспись⁠[L61], а оператор ссылается на него, когда показывает цели, объём и сроки обработки⁠[L1]. Почему пункты устроены именно так, объясняет глава 4.

Как пользоваться шаблоном

Заполните поля в квадратных скобках, удалите строки, которые не относятся к вашему режиму, и согласуйте текст с ответственным за ПДн, юристом и кадровой службой. Положение — не согласие: согласия, где они нужны, оформляются отдельными документами⁠[L3]⁠[L4].

• Кто утверждает положение и каким приказом.
• Какие служебные каналы входят в программу и есть ли среди них SMS и звонки.
• Срок хранения персональных результатов и минимальный размер группы для отчётов руководителям.
• Кто видит персональные результаты — перечень должностей, а не фамилий.
• Какие строки о ГИС и КИИ относятся к вашей организации.
• Нужно ли учесть мнение профсоюза.

Приложения к положению

Приложение 1. Лист ознакомления. Лист подтверждает ознакомление, а не согласие. Согласие на обработку ПДн, где оно нужно, оформляется отдельным документом⁠[L4] — шаблоны в приложении F.

Приложение 2. Карточка кампании. Форма и порядок заполнения — в главе 9: цель, канал, основание, легенда прошла светофор, фиксируемые события, срок хранения, согласования.

Приложение 3. Перечень фиксируемых событий. То, чего нет в перечне, не записывается — ни у Организации, ни у обработчика⁠[L1].

Чек-лист договора поручения с платформой

Нормы — по состоянию на 26.09.2026

Платформа учебных атак обрабатывает ПДн ваших работников по вашему поручению: для 152-ФЗ она — лицо, которое обрабатывает ПДн по поручению оператора (обработчик). Этот чек-лист — для договора с ней. Первая часть — то, без чего поручение не соответствует ч. 3 ст. 6 152-ФЗ⁠[L2]. Вторая — условия, которых закон не требует, но которые закрывают риски из главы 5 и главы 13.

Договор согласуют юрист, ответственный за организацию обработки ПДн и отдел закупок; для ГИС и значимых КИИ — ещё подразделение ИБ. Отметьте пункты, которые уже есть в вашем договоре; недостающие внесите в протокол разногласий или дополнительное соглашение. Вопросы, которые стоит задать вендору до подписания, — анкета в главе 13.

Договор не заменяет согласия работников. Если вы берёте осторожный вариант, получите отдельное письменное согласие на передачу данных вендору, оформленное отдельно от иных документов⁠[L3]⁠[L4], — шаблон F.1 в приложении F.

Обязательно по ч. 3 ст. 6 152-ФЗ

Восемь пунктов, которые закон требует в любом поручении. Текст после названия пункта — пример для платформы учебных атак.

• Перечень ПДн. ФИО, должность, подразделение, служебные адрес и телефон, события кампаний (доставлено, открыто, переход, ввод данных — без значений, сообщено), результаты курсов. Только то, что нужно для цели⁠[L1]⁠[L2].
• Перечень действий. Получение из LDAP или MS AD, запись, хранение, рассылка, построение отчётов, выгрузка оператору, уничтожение⁠[L2].
• Цели. Совпадают с целями в политике оператора: повышение осведомлённости работников и проверка их знаний. Других целей у обработчика нет⁠[L2].
• Конфиденциальность. Обработчик обязан соблюдать конфиденциальность ПДн: не раскрывать их третьим лицам и не распространять⁠[L2].
• БД в России. Обработчик соблюдает ч. 5 ст. 18 152-ФЗ: при сборе не записывает, не систематизирует, не накапливает, не хранит, не уточняет и не извлекает ПДн граждан России с использованием баз данных за пределами России⁠[L12].
• Меры защиты. Обработчик принимает меры по ст. 18.1 и обеспечивает безопасность ПДн; в поручении указаны требования к их защите по ст. 19 152-ФЗ⁠[L2]⁠[L15].
• Документы о мерах. По запросу оператора, в том числе до начала обработки, обработчик передаёт документы о принятых мерах⁠[L2].
• Инциденты. Обработчик уведомляет оператора об инцидентах, о которых оператор сообщает Роскомнадзору по ч. 3.1 ст. 21 152-ФЗ за 24 и 72 часа⁠[L2]⁠[L16].

Рекомендуется

Восемнадцать условий сверх закона. Пункты с пометкой «Для кого» нужны только указанным заказчикам; остальные — всем.

• Срок уведомления об инциденте. Не позже N часов с момента, когда обработчик выявил инцидент; рекомендуем N ≤ 12, чтобы у вас остался запас до 24 часов перед Роскомнадзором⁠[L16]. Канал и контакт — в договоре.
• Субобработчики. Перечень лиц, которым вендор передаёт данные (облако, ЦОД, почтовые сервисы, поддержка), — приложение к договору; замена — только с вашего письменного согласия.
• Место ЦОД. Город и владелец площадки для основной базы, резервных копий и журналов.
• Нет передачи за границу. Трансграничной передачи нет; если она нужна — оформлена по ст. 12 152-ФЗ до её начала⁠[L7].
• Запрет собственных целей вендора. Данные не используются для обучения моделей, межклиентских сравнений и развития продукта. Обезличивание — только методами приказа Роскомнадзора № 140 и по отдельному поручению⁠[L27].
• Выгрузка и удаление по одному работнику. Не дольше 5 рабочих дней по запросу оператора: у вас самих на ответ работнику 10 рабочих дней с продлением не более чем на 5, а на уточнение или уничтожение данных, которые работник подтвердил как неточные, незаконно полученные или не нужные для цели, — 7 рабочих дней⁠[L10].
• Уничтожение с подтверждением. Акт и выгрузка из журнала по приказу Роскомнадзора № 179, хранение 3 года⁠[L21]; уничтожение средствами защиты с функцией уничтожения, прошедшими оценку соответствия⁠[L15].
• Аудит и отчётность. Сведения для вашей оценки уровня защищённости и модели угроз; результаты контроля выполнения требований — не реже раза в 3 года; право аудита⁠[L25].
• Юрисдикция и лицензия. Сведения о регистрации, владельцах и правообладателе вендора; лицензия ФСТЭК по ТЗКИ⁠[L88].Для кого организации из Указа № 250
• Реестр ПО. Номер записи платформы в реестре российского или евразийского ПО⁠[L94]⁠[L95].Для кого заказчики по 44-ФЗ и 223-ФЗ
• Требования оператора ГИС. Требования к защите информации по п. 58 приказа ФСТЭК № 117, запрет копирования, требования по Узи⁠[L81].Для кого ГИС и госсектор, с 01.09.2026
• Узи подрядчика КИИ. Оценка Узи до получения доступа и далее не реже раза в 3 года⁠[L78].Для кого значимые объекты КИИ, с 01.03.2027
• Узи подрядчика ГИС. Оценка Узи до получения доступа или передачи информации и далее не реже раза в 2 года (новый п. 32 приказа № 117)⁠[L81].Для кого ГИС и госсектор, с 01.03.2027
• Лицензия ТЗКИ и перечень работ. Лицензия вендора и перечень работ по постановлению № 79, которые он выполняет по договору: в условие о 0,1% выручки засчитываются только мероприятия по ИБ, проведённые лицензиатами (или самим оператором с лицензией)⁠[L157]⁠[L36].Для кого кто рассчитывает на ч. 3.4-2 ст. 4.1 КоАП
• Кнопка «Сообщить». Какие данные вендор получает из пересланных писем; запрет хранить текст писем и ПДн третьих лиц, если для разбора они не нужны⁠[L153]⁠[L1].
• Люди вендора. Перечень ролей с доступом к данным; их обучение и обязательство о конфиденциальности; журнал доступа поддержки.
• Ответственность и регресс. Перед работниками отвечаете вы (ч. 5 ст. 6)⁠[L2], поэтому в договоре — возмещение ваших расходов и убытков, если нарушение допустил вендор.
• Окончание договора. Возврат данных в согласованном формате и уничтожение с актом в согласованный срок; подтверждение уничтожения у субобработчиков.

Календарь сроков уведомления

Нормы — по состоянию на 26.09.2026

Все сроки, которые запускает инцидент или изменение программы, в одном месте. Таблицы разбиты по адресатам: Роскомнадзор; НКЦКИ и ФСТЭК; Банк России и удостоверяющий центр; внутренние сроки. Объяснение, как считать момент выявления и что писать во втором уведомлении, — в главе 6.

Роскомнадзор

С 26.07.2026 «адекватной» для трансграничной передачи страну делает только перечень Роскомнадзора⁠[L8]. Действует перечень по приказу № 128; новый после этих изменений на 25.09.2026 не опубликован⁠[L9].

НКЦКИ и ФСТЭК

Банк России и удостоверяющий центр

Для НФО и субъектов НПС сроки и порядок передачи сведений задают 757-П и 821-П; с 01.10.2026 821-П меняется указанием 7220-У — сверьте регламент с действующей редакцией⁠[L98]⁠[L99].

Внутренние сроки

Периодические расчёты, которые запускают сроки

Сроки отправки Кзи и отчётов в ФСТЭК отсчитываются от расчёта или контроля. Расчёты тоже по графику, и с 01.03.2027 он меняется. Как уложить их в план года, показывает глава 15.

Готовность к отсчёту

• Для каждой строки, которая к вам применима, в регламенте названы ответственный и заместитель.
• У ответственного за ПДн и его заместителя есть вход на Портал ПДн через ЕСИА и действующая электронная подпись.
• Если вы подключены к ГосСОПКА или оператор ГИС, проверен доступ к личному кабинету НКЦКИ и резервный канал.
• Банк: известен порядок передачи сведений в Банк России (техническая инфраструктура и резервный способ) и кто подаёт их ночью и в выходные.
• Шаблоны первого и второго уведомлений заполнены постоянными сведениями заранее.
• Журнал сообщений работников ведётся со временем до минуты (шаблон — в главе 6).

Норма, требование, доказательство

Нормы — по состоянию на 26.09.2026

Справочник к главам 3 и 10: какая норма требует обучения или ознакомления, кого она касается, как часто, каким документом это показать, кто проверяет и что грозит. Таблица разбита на четыре режима — читайте свой и базовый слой ПДн.

ПДн и трудовое право — почти любой работодатель

Базовый слой. Если вы не ГИС, не КИИ и не финансовая организация, ваш список обязанностей по обучению — здесь (глава 3).

КИИ

Для субъектов КИИ со значимыми объектами — поверх базового слоя. Категорирование и остальное — в приложении E.

ГИС, госсектор и организации из Указа № 250

Единственный режим, где учебные рассылки названы прямо (п. 56 «в» приказа № 117).

Финансовые организации и СКЗИ

Меры ГОСТ Р 57580.1 об обучении и осведомлённости обязательны на всех трёх уровнях защиты; СКЗИ — для всех, кто ими пользуется.